EFTA Court: Noorwegen schendt EER-verplichtingen door NIS-uitvoeringsverordening niet te implementeren

EFTA Court 11 maart 2026, IT 5134; IEFbe 4127; E-20/25 (EFTA Surveillance Authority tegen Noorwegen). Het EFTA Surveillance Authority (ESA) stelde bij het EFTA Court een beroep in wegens niet-nakoming tegen Noorwegen op grond van artikel 31 van de Surveillance and Court Agreement (SCA). ESA verzocht het Hof vast te stellen dat Noorwegen zijn verplichtingen uit artikel 7 van de EER-Overeenkomst niet was nagekomen doordat het Commission Implementing Regulation (EU) 2018/151 niet tijdig in zijn nationale rechtsorde had opgenomen. Deze uitvoeringsverordening, die nadere regels bevat voor het risicobeheer en incidentmelding door digitale dienstverleners in het kader van de NIS-richtlijn (Directive (EU) 2016/1148), werd via Besluit van het Gemengd Comité van de EER nr. 21/2023 toegevoegd aan bijlage XI van de EER-Overeenkomst. Het besluit trad op 1 augustus 2024 in werking, waarna de betrokken EFTA-staten de verplichting hadden de verordening in hun interne rechtsorde op te nemen. Omdat ESA geen kennisgeving had ontvangen van nationale implementatiemaatregelen, werd op 4 november 2024 een formele aanmaning aan Noorwegen gestuurd. Noorwegen erkende in zijn reactie dat de noodzakelijke maatregelen nog niet waren vastgesteld. Vervolgens bracht ESA op 26 maart 2025 een met redenen omkleed advies uit, waarbij Noorwegen tot 26 mei 2025 de tijd kreeg om aan zijn verplichtingen te voldoen. Noorwegen gaf aan dat de implementatiemaatregelen naar verwachting pas in de tweede helft van 2025 in werking zouden treden.  

Voor het Hof betwistte Noorwegen de feiten niet en erkende het dat het beroep gegrond was. Het Hof benadrukte dat artikel 3 EER de staten verplicht alle passende maatregelen te nemen om de verplichtingen uit de EER-Overeenkomst na te komen. Op grond van artikel 7, onder a), EER moeten handelingen die overeenkomen met EU-verordeningen en die in de bijlagen bij de overeenkomst zijn opgenomen, als zodanig onderdeel worden van de nationale rechtsorde van de EER-staten. De vraag of een staat zijn verplichtingen heeft geschonden moet worden beoordeeld aan de hand van de situatie op het moment waarop de termijn in het met redenen omkleed advies afloopt. Aangezien vaststond dat Noorwegen op 26 mei 2025 de verordening nog niet had geïmplementeerd, oordeelde het Hof dat Noorwegen zijn verplichtingen uit artikel 7 EER niet was nagekomen. Het Hof verklaarde daarom dat Noorwegen in gebreke was gebleven door Commission Implementing Regulation (EU) 2018/151 niet in zijn interne rechtsorde op te nemen en veroordeelde Noorwegen tot betaling van de proceskosten. 

THE COURT

hereby:

1. Declares that Norway has failed to fulfil its obligations under Article
7 of the EEA Agreement by failing to make the act referred to at
point 5cpaa of Annex XI to the Agreement on the European
Economic Area (Commission Implementing Regulation (EU)
2018/151 of 30 January 2018 laying down rules for application of
Directive (EU) 2016/1148 of the European Parliament and of the
Council as regards further specification of the elements to be taken
into account by digital service providers for managing the risks
posed to the security of network and information systems and of the
parameters for determining whether an incident has a substantial
impact), as adapted by Protocol 1 to the EEA Agreement, part of its
internal legal order.
2. Orders Norway to bear the costs of the proceedings.