EFTA Court: Noorwegen schendt EER-verplichtingen door NIS-uitvoeringsverordening niet te implementeren
EFTA Court 11 maart 2026, IT 5134; IEFbe 4127; E-20/25 (EFTA Surveillance Authority tegen Noorwegen). Het EFTA Surveillance Authority (ESA) stelde bij het EFTA Court een beroep in wegens niet-nakoming tegen Noorwegen op grond van artikel 31 van de Surveillance and Court Agreement (SCA). ESA verzocht het Hof vast te stellen dat Noorwegen zijn verplichtingen uit artikel 7 van de EER-Overeenkomst niet was nagekomen doordat het Commission Implementing Regulation (EU) 2018/151 niet tijdig in zijn nationale rechtsorde had opgenomen. Deze uitvoeringsverordening, die nadere regels bevat voor het risicobeheer en incidentmelding door digitale dienstverleners in het kader van de NIS-richtlijn (Directive (EU) 2016/1148), werd via Besluit van het Gemengd Comité van de EER nr. 21/2023 toegevoegd aan bijlage XI van de EER-Overeenkomst. Het besluit trad op 1 augustus 2024 in werking, waarna de betrokken EFTA-staten de verplichting hadden de verordening in hun interne rechtsorde op te nemen. Omdat ESA geen kennisgeving had ontvangen van nationale implementatiemaatregelen, werd op 4 november 2024 een formele aanmaning aan Noorwegen gestuurd. Noorwegen erkende in zijn reactie dat de noodzakelijke maatregelen nog niet waren vastgesteld. Vervolgens bracht ESA op 26 maart 2025 een met redenen omkleed advies uit, waarbij Noorwegen tot 26 mei 2025 de tijd kreeg om aan zijn verplichtingen te voldoen. Noorwegen gaf aan dat de implementatiemaatregelen naar verwachting pas in de tweede helft van 2025 in werking zouden treden.