Hopp til innhold
Forskrift
Justis- og beredskapsdepartementet

Forskrift om cybersikkerhetssertifisering

forskrift/2026-06-23-1250·11 paragrafer·Utforsk grafen
I kraft 2026-06-23Kunngjort 2026-06-23
Hjemmel§ 7Lov om tekniske kontrollorgan§ 18Digitalsikkerhetsloven§ 19Digitalsikkerhetsloven
Innhold11 paragrafer
§ 1

Cybersikkerhetsforordningen

Forordning (EU) 2019/881 om byrået for nett- og informasjonssikkerhet (ENISA) og om cybersikkerhetssertifisering av informasjons- og kommunikasjonsteknologi (cybersikkerhetsforordningen), som inntatt i EØS-avtalen vedlegg XI nr. 5cp, gjelder som forskrift. Forordningen gjelder med de tilpasninger som følger av vedlegg XI, protokoll 1 til avtalen og avtalen for øvrig.

EU-forordningen om cybersikkerhetssertifisering av informasjons- og kommunikasjonsteknologi og byrået ENISA gjelder som norsk forskrift. Reglene gjelder med de tilpasninger som følger av EØS-avtalen.AI

§ 2

Unntak for visse aktiviteter

Forskriften berører ikke myndighetsområder med hensyn til aktiviteter som gjelder offentlig sikkerhet, forsvar, nasjonal sikkerhet og statens aktiviteter på det strafferettslige området, jf. cybersikkerhetsforordningen artikkel 1 nr. 2. Dette inkluderer sertifisering som faller under disse myndighetsområdene, herunder sertifisering etter sikkerhetsloven og forskrifter fastsatt i medhold av denne.

Denne forskriften gjelder ikke for aktiviteter knyttet til forsvar, nasjonal sikkerhet, offentlig sikkerhet eller statens strafferettslige arbeid. Dette inkluderer også sertifiseringer som gjøres etter sikkerhetsloven.AI

§ 3

Akkrediteringsorgan

Nasjonalt akkrediteringsorgan etter EØS-vareloven skal akkreditere samsvarsvurderingsorganer etter cybersikkerhetsforordningen artikkel 60.

Det nasjonale akkrediteringsorganet skal godkjenne organer som vurderer om cybersikkerhetskrav er oppfylt.AI

§ 4

Nasjonale cybersikkerhetssertifiseringsmyndigheter

Nasjonal sikkerhetsmyndighet er nasjonal cybersikkerhetssertifiseringsmyndighet etter cybersikkerhetsforordningen, jf. artikkel 58. Kongen kan utpeke en eller flere cybersikkerhetssertifiseringsmyndigheter for oppgaver tilknyttet sertifiseringsordninger i rettsakter vedtatt med hjemmel i cybersikkerhetsforordningen artikkel 49 nr. 7. Nasjonal sikkerhetsmyndighet og cybersikkerhetssertifiseringsmyndigheter etter andre ledd har innenfor sine ansvarsområder myndighet til å iverksette tiltakene angitt i cybersikkerhetsforordningen artikkel 58 nr. 8.

Nasjonal sikkerhetsmyndighet er den nasjonale myndigheten for cybersikkerhetssertifisering. Kongen kan utpeke flere myndigheter til spesifikke oppgaver knyttet til sertifiseringsordninger.AI

referert av 4 →

§ 5

Utpeking av og tilsyn med samsvarsvurderingsorganer

Cybersikkerhetssertifiseringsmyndigheter etter § 4 utpeker og fører tilsyn med samsvarsvurderingsorganer etter lov om tekniske kontrollorgan og cybersikkerhetsforordningen.

Myndighetene for cybersikkerhetssertifisering bestemmer hvem som kan være samsvarsvurderingsorganer. De har også ansvaret for å føre tilsyn med disse organene.AI

Se ogsåLov om tekniske kontrollorgan § 4

§ 6

Informasjonsutveksling

Cybersikkerhetssertifiseringsmyndigheter etter § 4 skal informere det aktuelle samsvarsvurderingsorganet om eventuelle avvik det avdekker hos produsenter og leverandører som har fått sertifisert IKT-produkter, IKT-tjenester eller IKT-prosesser. Samsvarsvurderingsorganer skal informere den relevante cybersikkerhetssertifiseringsmyndigheten om sertifikatene de utsteder og sertifikater de trekker tilbake. Nasjonalt akkrediteringsorgan skal informere den relevante cybersikkerhetssertifiseringsmyndigheten dersom samsvarsvurderingsorganer underlagt deres tilsyn mister akkrediteringen.

Bestemmelsen pålegger myndigheter, samsvarsvurderingsorganer og det nasjonale akkrediteringsorganet å utveksle informasjon om avvik, utstedte eller tilbaketrukne sertifikater, samt tap av akkreditering.AI

Se ogsåForskrift om cybersikkerhetssertifisering § 4

§ 7

Vederlag for samsvarsvurderinger

Samsvarsvurderingsorganer kan kreve vederlag etter lov om tekniske kontrollorgan § 5. Offentlige samsvarsvurderingsorganer kan kun kreve vederlag for å dekke organets kostnader ved samsvarsvurderinger. Vederlaget er tvangsgrunnlag for utlegg.

Organer som utfører samsvarsvurderinger kan ta betalt for arbeidet. Offentlige organer kan bare kreve betaling som dekker kostnadene deres. Betalingskravet kan brukes som grunnlag for tvangsinnkreving.AI

Se ogsåLov om tekniske kontrollorgan § 5

§ 8

Pålegg

Dersom en produsent eller leverandør av sertifiserte IKT-produkter, IKT-tjenester eller IKT-prosesser ikke oppfyller kravene produsenten eller leverandøren er ilagt etter forskriften her, kan cybersikkerhetssertifiseringsmyndigheter etter § 4 ilegge pålegg om retting. Dersom en produsent eller leverandør har utstedt EU-samsvarserklæring, men ikke oppfyller kravene som følger av sertifiseringsordningen, kan cybersikkerhetssertifiseringsmyndigheter etter § 4 pålegge produsenten eller leverandøren å trekke EU-samsvarserklæringen tilbake, og forby markedsføring som gir uttrykk for at IKT-produktet, -tjenesten eller -prosessen oppfyller kravene til sertifiseringsordningen.

Myndighetene kan pålegge produsenter og leverandører å rette opp feil hvis krav i forskriften ikke er fulgt. De kan også kreve at samsvarserklæringer trekkes tilbake og forby markedsføring som feilaktig hevder at kravene er oppfylt.AI

Se ogsåForskrift om cybersikkerhetssertifisering § 4referert av 2 →

§ 9

Tvangsmulkt

Cybersikkerhetssertifiseringsmyndigheter etter § 4 kan treffe vedtak om tvangsmulkt for å sikre at pålegg etter § 8 blir oppfylt. Tvangsmulkten kan fastsettes som en løpende tvangsmulkt for hver dag, uke eller måned som går etter utløpet av den frist som er satt for oppfylling av pålegget, inntil pålegget er oppfylt. Cybersikkerhetssertifiseringsmyndigheten kan i særlige tilfeller frafalle påløpt tvangsmulkt.

Myndighetene kan ilegge daglige, ukentlige eller månedlige bøter dersom et pålegg ikke blir fulgt. Betalingen pågår frem til pålegget er oppfylt, men myndighetene kan i spesielle tilfeller slette bøtene.AI

Se ogsåForskrift om cybersikkerhetssertifisering § 4Forskrift om cybersikkerhetssertifisering § 8

§ 10

Overtredelsesgebyr

Cybersikkerhetssertifiseringsmyndigheter etter § 4 kan ilegge produsenter eller leverandører overtredelsesgebyr på inntil 1 prosent av foretakets omsetning dersom foretaket eller noen som handler på dennes vegne, forsettlig eller uaktsomt: a) gir feilaktige eller ufullstendige opplysninger til cybersikkerhetssertifiseringsmyndigheten, når myndigheten trenger opplysningene for å utføre sine oppgaver, jf. cybersikkerhetsforordningen artikkel 58 nr. 8 bokstav a og b. b) hindrer cybersikkerhetssertifiseringsmyndigheten tilgang til lokaler når myndigheten skal utføre undersøkelser etter cybersikkerhetsforordningen artikkel 58 nr. 8 bokstav d. Cybersikkerhetssertifiseringsmyndigheter etter § 4 kan ilegge produsenter eller leverandører overtredelsesgebyr på inntil 3 prosent av foretakets omsetning dersom foretaket eller noen som handler på dennes vegne, forsettlig eller uaktsomt: a) ikke etterkommer pålegg etter § 8. b) overtrer forpliktelsen til å informere om påviste sårbarheter eller uregelmessigheter etter cybersikkerhetsforordningen artikkel 56 nr. 8. c) utsteder en EU-samsvarserklæring etter cybersikkerhetsforordningen artikkel 53 uten at kravene som følger av sertifiseringsordningen er oppfylt. Omsetningen er foretakets samlede årsomsetning i det forutgående regnskapsåret, dersom siste godkjente årsregnskap foreligger. Ved avgjørelsen av om et foretak skal ilegges overtredelsesgebyr og ved utmåling av overtredelsesgebyret, skal det legges særlig vekt på overtredelsesgebyrets preventive virkning, overtredelsens omfang og virkninger, hvilke fordeler som er eller kunne vært oppnådd ved overtredelsen, graden av utvist skyld og foretakets økonomiske evne.

Produsenter og leverandører kan få gebyr hvis de bevisst eller uaktsomt bryter reglene for cybersikkerhetssertifisering. Gebyret kan utgjøre opptil 1 eller 3 prosent av foretakets omsetning, avhengig av hva som er gjort galt.AI

Se ogsåForskrift om cybersikkerhetssertifisering § 4Forskrift om cybersikkerhetssertifisering § 8

§ 11

Ikrafttredelse og endringer i andre forskrifter

Forskriften trer i kraft straks. Fra samme tidspunkt oppheves § 2-11 i forskrift 20. desember 2024 nr. 3410 om elektroniske kommunikasjonsnett og elektroniske kommunikasjonstjenester

Denne forskriften begynner å gjelde med en gang. Samtidig blir en bestemt regel i en tidligere forskrift om elektroniske kommunikasjonsnett og tjenester fjernet.AI

Se ogsåEkomforskriften § 2-11

Vanlige spørsmål

✨ AI-generert

Forenklede forklaringer laget med AI og kontrollert automatisk — les alltid selve lovteksten.

Hvilken EU-forordning gjelder for cybersikkerhetssertifisering?

EU-forordningen om cybersikkerhetssertifisering av informasjons- og kommunikasjonsteknologi og byrået ENISA gjelder som norsk forskrift. Reglene gjelder med de tilpasninger som følger av EØS-avtalen.

Åpne § 1
Gjelder denne forskriften for aktiviteter innen forsvar?

Denne forskriften gjelder ikke for aktiviteter knyttet til forsvar, nasjonal sikkerhet, offentlig sikkerhet eller statens strafferettslige arbeid. Dette inkluderer også sertifiseringer som gjøres etter sikkerhetsloven.

Åpne § 2
Hvem skal akkreditere samsvarsvurderingsorganer?

Det nasjonale akkrediteringsorganet skal godkjenne organer som vurderer om cybersikkerhetskrav er oppfylt.

Åpne § 3
Hvem er nasjonal cybersikkerhetssertifiseringsmyndighet?

Nasjonal sikkerhetsmyndighet er den nasjonale myndigheten for cybersikkerhetssertifisering. Kongen kan utpeke flere myndigheter til spesifikke oppgaver knyttet til sertifiseringsordninger.

Åpne § 4
Hvem utpeker samsvarsvurderingsorganer?

Myndighetene for cybersikkerhetssertifisering bestemmer hvem som kan være samsvarsvurderingsorganer. De har også ansvaret for å føre tilsyn med disse organene.

Åpne § 5
Hva skjer hvis myndighetene oppdager avvik hos en produsent med sertifiserte produkter?

Bestemmelsen pålegger myndigheter, samsvarsvurderingsorganer og det nasjonale akkrediteringsorganet å utveksle informasjon om avvik, utstedte eller tilbaketrukne sertifikater, samt tap av akkreditering.

Åpne § 6
Kan de som gjør samsvarsvurderinger kreve betaling?

Organer som utfører samsvarsvurderinger kan ta betalt for arbeidet. Offentlige organer kan bare kreve betaling som dekker kostnadene deres. Betalingskravet kan brukes som grunnlag for tvangsinnkreving.

Åpne § 7
Hva skjer hvis en leverandør ikke oppfyller kravene i forskriften?

Myndighetene kan pålegge produsenter og leverandører å rette opp feil hvis krav i forskriften ikke er fulgt. De kan også kreve at samsvarserklæringer trekkes tilbake og forby markedsføring som feilaktig hevder at kravene er oppfylt.

Åpne § 8