Europakommisjonen la frem et forslag om å revidere Cybersecurity Act. Utgangspunktet var å styrke EUs motstandskraft og kapasitet mot digitale trusler, samtidig som eksisterende ordninger skulle bli enklere å bruke. Forslaget hadde derfor både et sikkerhetspolitisk og et praktisk etterlevelsesformål.

Et sentralt element var mer smidig cybersikkerhetssertifisering. Kommisjonen foreslo mekanismer som kunne gjøre ordningene mer tilpasningsdyktige når teknologi, trusselbilder og markedsbehov endrer seg. Sertifisering ville fortsatt være et virkemiddel for å dokumentere sikkerhetsegenskaper, ikke automatisk et bevis på at alle andre rettslige krav er oppfylt.

Forslaget ville også gi ENISA en sterkere rolle. Byråets funksjoner skulle støtte en mer samordnet europeisk tilnærming til sertifisering, kapasitet og gjennomføring. Den foreslåtte rollen måtte likevel vurderes innenfor den lovgivningsprosessen som fulgte, siden Kommisjonens utspill ikke i seg selv endret ENISAs mandat.

Leverandørkjeder for IKT var et annet hovedtema. Risiko kan oppstå gjennom programvare, maskinvare, skytjenester, oppdateringer og underleverandører, selv når en virksomhets egne systemer er godt sikret. Virksomheter bør derfor allerede nå ha oversikt over kritiske avhengigheter, oppdateringslinjer, geografisk eksponering og muligheter for å bytte leverandør.

Kommisjonen knyttet dessuten forslaget til forenkling av eksisterende cybersikkerhetsetterlevelse. Målet var å redusere unødvendig dobbeltarbeid og gjøre forholdet mellom ulike ordninger klarere. Det var imidlertid ikke grunnlag for å behandle dette som en umiddelbar fritaksmekanisme eller som en ny samlet pliktpakke.

For norske aktører var tidspunktet og statusen særlig viktig. Forslaget medførte ingen direkte endring i norsk lov. En eventuell norsk virkning ville avhenge av at EU først vedtok teksten, at den ble vurdert som EØS-relevant, og at Norge deretter gjennomførte den på nødvendig måte.

Virksomheter med EU-eksponering kunne likevel følge utviklingen som et strategisk signal. De kunne bruke forslaget til å teste sertifiseringsstrategier, leverandørkartlegging og krav til sikkerhetsdokumentasjon, men måtte ikke omtale eller behandle Kommisjonens forslag som bindende rett før lovgivningsprosessen var avsluttet. Forslaget måtte fortsatt behandles av EU-lovgiverne.

Kilder

Europakommisjonen: «Commission strengthens EU cybersecurity resilience», 20. januar 2026.

Europakommisjonen: «Proposal for a Regulation for the EU Cybersecurity Act», 20. januar 2026.

Til diskusjon

Hvilke leverandørkjedeavhengigheter og sertifiseringsbehov bør virksomheten kartlegge dersom forslaget senere blir vedtatt?