BFSG og EAA: den tyske fristen i 2025 for WordPress-nettbutikker

#BFSG og EAA: den tyske fristen i 2025 for WordPress-nettbutikker

Barrierefreiheitsstärkungsgesetz (BFSG) har gjeldt siden 28. juni 2025. Tilgjengelighetsbølgen som i to tiår har gått gjennom WCAG-dokumentasjonen, Section 508 og direktivet om tilgjengelighet i offentlig sektor, har endelig nådd private B2C-tjenester i hele EU gjennom European Accessibility Act (EAA). Tyskland gjennomførte den med BFSG, Spania med loven Ley 11/2023, og de øvrige medlemslandene med egne regelverk. Innholdet sammenfaller, mens de prosessuelle detaljene og håndhevingsmyndighetene er forskjellige.

Dette er en støtteartikkel i pilarartikkelen om NIS2 og DORA for WordPress, fordi innkjøpsteam i dag samler tilgjengelighet, NIS2 og DORA i én leverandørrangering.

#TL;DR

• BFSG trådte i kraft: 28. juni 2025.
• BFSG gjennomfører EAA 2019/882.
• Loven gjelder netthandelstjenester rettet mot forbrukere i Tyskland.
• Unntaket for mikroforetak gjelder tjenester, ikke produkter.
• Fire kategorier av WordPress-utvidelser stryker oftest i revisjonen.
• Håndheving: MLBF, delstatenes felles markedstilsyn, med bøter på opptil 100 000 EUR etter § 37 BFSG.

#Hvem BFSG omfatter, og hvilke krav som gjelder

BFSG lister i § 1 opp produktene og tjenestene som er omfattet. Tjenestelinjen som treffer WooCommerce: «Dienstleistungen im elektronischen Geschäftsverkehr», tjenester innen elektronisk handel. En WooCommerce-butikk som selger varer eller tjenester til forbrukere i Tyskland er omfattet, med mindre den kvalifiserer som et mikroforetak som yter tjenester.

§ 2 og § 3 første ledd definerer nøkkelbegrepene. De viktigste for den som driver en WordPress-butikk:

• Verbraucher (forbruker): en fysisk person som handler utenfor sin nærings-, yrkes- eller håndverksvirksomhet. BFSG beskytter forbrukertransaksjoner, ikke ren B2B.
• Wirtschaftsakteur (markedsaktør): produsent, importør, distributør eller tjenesteyter. Den som driver en WooCommerce-butikk er tjenesteyter for netthandelslinjen.
• Barrierefreiheit (tilgjengelighet): kravet om at produkter og tjenester skal kunne brukes av personer med funksjonsnedsettelser på vanlig måte, uten særlige vanskeligheter og i prinsippet uten hjelp fra andre.

§ 3 tredje ledd fastsetter unntaket for mikroforetak. Et foretak med færre enn 10 ansatte og en årlig omsetning eller balansesum på opptil 2 mill. EUR er unntatt fra pliktene knyttet til tjenester, men ikke fra pliktene knyttet til produkter. En liten WooCommerce-aktør som selger forbrukervarer kan lene seg på dette unntaket for netthandelsplikten; selve varene er et eget spørsmål.

§ 3 første ledd krever at produkter og tjenester er tilgjengelige i denne betydningen. De konkrete tekniske kravene står ikke i selve loven: § 3 annet ledd overlater dem til en forskrift, BFSGV, som bygger på vedlegg I til EAA-direktivet. § 4 gir en formodning om samsvar for tjenester som oppfyller harmoniserte standarder.

§ 14 første ledd nr. 2, sammen med lovens vedlegg 3, pålegger tjenesteytere å publisere hvordan tjenesten oppfyller tilgjengelighetskravene. I praksis er dette tilgjengelighetserklæringen; det obligatoriske innholdet står i et eget avsnitt nedenfor.

§ 37 gir bøter på opptil 100 000 EUR for å tilby en tjeneste som ikke oppfyller kravene, og opptil 10 000 EUR for andre brudd, for eksempel manglende svar til myndigheten. Håndhevingen ligger hos ett felles organ for delstatene, beskrevet nedenfor.

#Hvordan BFSG skiller seg fra EAA-direktivet

European Accessibility Act er et direktiv, ikke en forordning. Medlemslandene skulle gjennomføre det innen 28. juni 2022 og anvende de nasjonale reglene fra 28. juni 2025 (artikkel 31). Innholdet står i vedlegg I. Avsnitt III har de generelle kravene til alle tjenester som omfattes, avsnitt IV tilleggskravene til bestemte tjenester, og bokstav g i avsnitt IV gjelder netthandel.

Avsnitt III krever blant annet informasjon om hvordan tjenesten fungerer, gjennom mer enn én sansekanal, og nettsteder og mobilapper som er mulige å oppfatte, betjene, forstå og robuste. Avsnitt IV bokstav g legger til tre plikter for netthandel: informasjon om tilgjengeligheten til produktene som selges, tilgjengelige funksjoner for identifikasjon, sikkerhet og betaling, og tilgjengelige identifikasjonsmetoder, elektroniske signaturer og betalingstjenester.

De nasjonale gjennomføringene sammenfaller i innhold og spriker i prosedyre. Tyskland har lagt markedstilsynet til et felles organ for delstatene. Spania gjennomførte direktivet med loven Ley 11/2023 av 8. mai 2023. For en WordPress-butikk som betjener flere EU-land er det praktiske svaret: oppfyll den strengeste varianten og dokumenter samsvaret én gang.

#Hvem som håndhever BFSG overfor nettbutikker

Delstatene driver ikke seksten separate BFSG-kontorer. De har opprettet ett felles organ, Marktüberwachungsstelle der Länder für die Barrierefreiheit von Produkten und Dienstleistungen (MLBF), en offentligrettslig institusjon med sete i Magdeburg som fører tilsyn med BFSG for alle 16 delstater (MLBF, om oss). Den publiserer separate tilsynsstrategier for produkter og for tjenester, og nettstedet har to skjemaer for forbrukere: melding om en barriere og en formell søknad etter § 32 første ledd BFSG.

Det andre skjemaet bør enhver butikkeier kjenne til. Etter § 32 BFSG kan en forbruker som ikke får brukt en tjeneste, eller en anerkjent funksjonshemmedeorganisasjon eller kvalifisert forbrukerorganisasjon på vegne av forbrukeren, kreve at myndigheten åpner sak mot aktøren. Myndigheten avgjør søknaden ved enkeltvedtak. Én kundeklage er altså nok til å starte en kontroll; myndigheten trenger ikke finne butikken selv.

#Slik kontrollerer markedstilsynet en WooCommerce-butikk

§ 28 annet ledd BFSG lar myndigheten kontrollere tjenester uten konkret foranledning, ved stikkprøver. For nettsteder og apper fastsetter lovens vedlegg 1 metoden. Hvert trinn i en prosess kontrolleres i den rekkefølgen en vanlig bruker følger, og kontrollen omfatter skjemaer, kontroller og dialogbokser, bekreftelser av inndata, feilmeldinger og andre tilbakemeldinger, og hvordan nettstedet oppfører seg med ulik programvare og hjelpemiddelteknologi.

Vedlegg 1 nr. 2 fastsetter også utvalget. Overført til en WooCommerce-butikk ser det slik ut:

Én regel setter kassen i sentrum av hver kontroll: er en side i utvalget et trinn i en prosess, kontrolleres alle trinnene i prosessen. Produktsiden fører til handlekurven, så handlekurv, kasse, betaling og ordrebekreftelse er med fra første produkt i utvalget.

#Hva BFSGV krever av en netthandelstjeneste

De tekniske kravene står i forskriften Verordnung zum Barrierefreiheitsstärkungsgesetz (BFSGV) av 15. juni 2022. To av bestemmelsene gjelder en butikk.

§ 12 BFSGV setter generelle krav til alle tjenester. Informasjon om hvordan tjenesten fungerer, må være tilgjengelig gjennom mer enn én sansekanal, være lett å finne og forstå, foreligge i tekstformater som brukeren kan gjøre om til andre formater, ha passende skriftstørrelse og kontrast og gi et alternativ til ikke-tekstlig innhold. Nettsteder og mobilapper må være mulige å oppfatte, betjene og forstå, og være robuste, altså de fire prinsippene WCAG bygger på. Støttetjenester som en brukerstøtte må gi informasjon om tilgjengelighet gjennom tilgjengelige kommunikasjonsformer.

§ 19 BFSGV legger til tre krav for netthandel:

• informasjon om tilgjengeligheten til produktene og tjenestene som selges, når den ansvarlige markedsaktøren stiller den til rådighet;
• funksjoner for identifikasjon, autentisering, sikkerhet og betaling som er mulige å oppfatte, betjene, forstå og robuste når de er en del av tjenesten;
• identifikasjonsmetoder, elektroniske signaturer og betalingstjenester som er mulige å oppfatte, betjene, forstå og robuste.

For WooCommerce peker dette mot tre områder temaer sjelden dekker: innloggings- og registreringsskjemaene, ethvert totrinns- eller captcha-steg og betalingsskjemaet. Et innebygd kortskjema eller betalingsleverandørens videresendingsside er fortsatt en del av tjenesten butikken tilbyr forbrukeren.

#Hvilken standard som dokumenterer samsvar med BFSG

§ 4 BFSG gir formodning om samsvar når en tjeneste oppfyller harmoniserte standarder som er kunngjort i EU-tidende. Bundesfachstelle Barrierefreiheit, som etter § 3 annet ledd BFSGV skal publisere de relevante standardene, opplyser at EU-kommisjonen har gitt standardiseringsoppdraget M/587 for nye og reviderte harmoniserte standarder under direktivet (Bundesfachstelle Barrierefreiheit, standarder). Til arbeidet er ferdig, peker den på EN 301 549 V3.2.1 som den sentrale tekniske referansen for det digitale området. Kravene til nettsteder står i kapittel 9 og tabell A.1, og de viser til suksesskriterier i WCAG 2.1.

Den praktiske referansen i dag er derfor WCAG 2.1 nivå AA gjennom EN 301 549. En revisjon mot WCAG 2.2 AA dekker den: ifølge W3Cs oversikt over WCAG 2.2 videreføres kriteriene fra 2.1, bortsett fra 4.1.1 Parsing, som er fjernet, og nye AA-kriterier som 2.4.11 Focus Not Obscured, 2.5.8 Target Size og 3.3.8 Accessible Authentication treffer direkte på faste topptekster, kasseknapper på mobil og innloggingsskjemaer.

#Hva tilgjengelighetsinformasjonen etter vedlegg 3 skal inneholde

§ 14 første ledd nr. 2 BFSG tillater en tjeneste bare når tjenesteyteren har utarbeidet informasjonen etter vedlegg 3 og gjort den tilgjengelig for allmennheten i tilgjengelig form. Vedlegg 3 sier hvor og hva. Informasjonen står i de alminnelige vilkårene eller publiseres på en annen tydelig måte, og inneholder minst:

• en generell beskrivelse av tjenesten i et tilgjengelig format;
• beskrivelser og forklaringer som trengs for å forstå hvordan tjenesten utføres;
• en beskrivelse av hvordan tjenesten oppfyller kravene i BFSGV;
• ansvarlig markedstilsynsmyndighet, som i dag er MLBF.

§ 14 annet ledd krever at informasjonen oppbevares så lenge tjenesten tilbys. Manglende eller ufullstendig informasjon er et formelt avvik etter § 30, som MLBF kontrollerer separat fra det tekniske.

#Unntak ved grunnleggende endring og uforholdsmessig byrde

§ 16 og § 17 BFSG lar en aktør unnlate et krav dersom det ville endre tjenestens art grunnleggende eller påføre en uforholdsmessig byrde. Ingen av dem virker som et generelt fritak. Aktøren gjør sin egen vurdering, dokumenterer den, oppbevarer den i fem år etter siste levering av tjenesten og gir myndigheten en kopi på forespørsel. En tjenesteyter som påberoper seg § 17, må gjenta vurderingen for hver tjenestekategori minst hvert femte år, og i tillegg når tjenesten endres eller myndigheten ber om det. Den må varsle myndigheten når den bruker unntaket; mikroforetak er fritatt fra dette varselet. Den som har fått ekstern offentlig eller privat finansiering for å bedre tilgjengeligheten, kan ikke påberope seg uforholdsmessig byrde i det hele tatt.

Vedlegg 4 lister kriteriene for vurderingen, med forholdet mellom nettokostnaden ved tilgjengelighet og de samlede drifts- og investeringskostnadene for tjenesten som det første. Etter § 28 tredje ledd kontrollerer myndigheten om vurderingen finnes, om den bruker kriteriene riktig, og om de øvrige kravene er oppfylt.

#Hva som skjer når en butikk ikke består en BFSG-kontroll

§ 29 BFSG trappes opp i tre trinn. Først ber myndigheten tjenesteyteren gjenopprette samsvar innen en rimelig frist. Skjer ingenting, gjentar den pålegget og varsler forbud mot tjenesten. Går også den andre fristen ut, kan den pålegge at tjenesten ikke lenger tilbys, og opphever pålegget når samsvar er dokumentert. Den som vet at tjenesten ikke oppfyller kravene, må selv varsle myndigheten etter § 14 fjerde ledd, med opplysninger om avviket og korrigerende tiltak.

De to bøtenivåene i § 37 annet ledd følger samme skille. Å tilby en tjeneste som ikke oppfyller kravene (§ 37 første ledd nr. 8), kan koste opptil 100 000 EUR. Manglende opplysninger eller dokumenter til myndigheten faller i det lavere nivået, opptil 10 000 EUR.

#Overgangsperioden i BFSG frem til 2030

§ 38 BFSG leses ofte som en frist for eksisterende butikker. Den er smalere enn som så. Tjenesteytere kan frem til 27. juni 2030 fortsette å bruke produkter i betydningen i § 1 annet ledd, som betalingsterminaler, som de lovlig brukte før 28. juni 2025. Tjenesteavtaler inngått før 28. juni 2025 kan løpe uendret til de utløper, men ikke lenger enn til 27. juni 2030. Selvbetjeningsterminaler som allerede er i bruk, kan brukes ut sin økonomiske levetid, høyst femten år etter at de ble tatt i bruk.

Ingenting av dette utsetter kravene til selve butikknettstedet. § 1 tredje ledd gjør loven gjeldende for tjenester som ytes til forbrukere etter 28. juni 2025, og hver bestilling i butikken etter den datoen er en slik tjeneste.

#Hvilke WordPress-utvidelser stryker i tilgjengelighetsrevisjonen

Jeg gjennomfører tilgjengelighetsrevisjoner av WooCommerce-butikker før BFSG. Fire kategorier av utvidelser går igjen som funnene med høyest avvisningsrate:

1. Cookiebannere som fanger tastaturfokus. Et modalt samtykkelag for informasjonskapsler som fanger fokus og ikke gir det tilbake etter lukking. Brukeren kan ikke tabulere seg videre til innholdet. Vanlig i cookieutvidelser fra før WCAG 2.1 for tastatur ble bredt forstått. Løsning: fokus tilbake til elementet som åpnet dialogen, støtte for Escape, ingen fokusfelle utenfor modalen.

2. Slider- og karusellutvidelser uten tastaturnavigasjon. Slick, Swiper og Owl Carousel. Standardoppsettet mangler ofte navigasjon med piltaster, fokusindikatorer på lysbildekontrollene og pause ved fokus. Karuseller som roterer automatisk stryker på WCAG 2.2.2 (pause, stopp, skjul). Løsning: piler som kan nås med tastatur, en pauseknapp, manuell rotasjon eller pause ved fokus.

3. Popup-byggere som ikke returnerer fokus etter lukking. Popuper for leadfangst, exit-intent og markedsføringsmodaler. Samme mønster som cookiebanneret: fokus går inn i modalen, lukkeknappen kan nås, men etter lukking går ikke fokus tilbake til elementet som åpnet den. En skjermleserbruker havner et tilfeldig sted i dokumentet.

4. Produktgalleri-utvidelser med bilder uten tilgjengelig navn. WooCommerce-galleriet, lightbox-utvidelser, variantfelter (swatches). Den visuelle designeren setter bildet, men det tilgjengelige navnet blir stående tomt eller er filnavnet. Dekorative bilder kan ha tom alt=""; informative bilder trenger et meningsfullt navn. Variantfelter vist som fargeruter uten tekst trenger et tilgjengelig navn (aria-label) på selve feltet, ikke bare på den synlige etiketten.

Disse fire mønstrene tetter gapet mellom «siden ser tilgjengelig ut i nettleseren» og «siden består en kontroll hos markedstilsynet». Revisjonssjekklisten går mot WCAG 2.2 AA, som omfatter kriteriene i WCAG 2.1 AA som EN 301 549 i dag viser til (se avsnittet om standarder ovenfor).

Det samme revisjonsspørsmålet bør stilles før du kjøper en utvidelse. 20. oktober 2026 publiserte Equalize Digital en kasusstudie om WooCommerce: fra juni 2025 til august 2026 gikk teamet gjennom 43 offisielle utvidelser og registrerte 519 feil som brøt 32 suksesskriterier i WCAG. Team hos Automattic og Fueled rettet de 41 utvidelsene WooCommerce selv vedlikeholder, mens funnene i Amazon Pay og Affirm ble sendt til de to leverandørene. WooCommerce publiserer samsvarsrapporter for tilgjengelighet (ACR) for dem på tilgjengelighetssiden sin. Rapporten for WooCommerce Bookings oppgir for eksempel versjon 3.1.0, rapportdato 24. juli 2026, temaet Twenty Twenty-Five som ble brukt i testene, og barrierene som fortsatt står åpne. En butikk på Shopify, Shopware, PrestaShop eller egen kode bygger like mye på apper og moduler den ikke har laget selv, så be hver leverandør om en ACR før kjøp, og sjekk utgave, versjon, tema og unntak. ITI gir ut fire utgaver av VPAT: WooCommerce-rapportene bruker WCAG-utgaven, mens EU- og INT-utgavene også dekker EN 301 549. Har leverandøren ingen rapport, tar du utvidelsens kasse-, konto- og reservasjonsflyt med i tilgjengelighetsrevisjonen før lansering, eller i en gjennomgang av WooCommerce EU readiness.

Oppdatering 27. oktober 2026. Det er utvidelsene i butikkfronten som oftest gjør at en nettbutikk stryker i en tilgjengelighetskontroll: en egen kontroll erstatter en innebygd, et ikon mangler navn, en fremdriftslinje oppgir ingen verdi, et dialogvindu reagerer ikke på tastaturet. Test hver utvidelse du legger til, bare med tastaturet og med en skjermleser. I våre egne utvidelser ser tilgjengelig oppførsel slik ut. Swatch viser den valgte verdien med ord ved siden av navnet på egenskapen, for eksempel “Farge: Rød”, og skjermlesere leser opp endringen. Badgevo skriver en bildetekst under hvert merke, og det er den teksten skjermleseren leser opp. I quizen i Elektilo flytter piltastene mellom svarene, og mellomrom eller Enter velger et svar. Lysboksen i Reel blar gjennom bildene med pilknapper, venstre- og høyretasten eller et sveip, og leser opp hvilket bilde av hvor mange som vises. Peek åpner hurtigvisningen i et tilgjengelig dialogvindu. Bruk den samme lista når du tester en hvilken som helst utvidelse, vår eller en annen leverandørs.

#BFSG-sjekkliste for en WooCommerce-butikk

Byråsjekklisten jeg leverer sammen med BFSG-klare WooCommerce-oppdrag:

• Side med tilgjengelighetserklæring på tysk, lenket fra hver bunntekst, med samsvarsnivå etter WCAG 2.2, kjente begrensninger og en kontaktperson for tilgjengelighet.
• Tema revidert mot WCAG 2.2 AA. Overskriftshierarki, landmark-regioner, tilstrekkelig fargekontrast, synlig tastaturfokus på hvert interaktive element, en skip-to-content-lenke.
• Skjemaer med etiketter, feil- og bekreftelsesmeldinger. Hvert felt har en synlig etikett og et tilgjengelig navn. Feil kunngjøres for skjermlesere. Bekreftelsesmeldinger er synlige og leses opp av hjelpemiddelteknologi.
• Revisjon av utvidelser med de fire mønstrene som primærkontroller. Cookiebanner, slider, popup, galleri. Pluss variantfelter. Pluss kasseflyten.
• Tilgjengelige nedlastbare dokumenter. PDF-er i produktnedlastinger må være tilgjengelige PDF-er (tagget struktur, alt-tekst på bilder, leserekkefølge). Utilgjengelige PDF-er er et gjentakende revisjonsfunn.
• Tilgjengelig video. Teksting på hver produktvideo. Synstolking for innhold som formidler informasjon kun visuelt.
• Test med minst to hjelpemiddelteknologier. Skjermleser (NVDA på Windows, VoiceOver på macOS), navigasjon kun med tastatur, høykontrastmodus.

Prisen for et oppdrag med tilgjengelighetsarbeid settes individuelt; timene til revisjon og retting avhenger av temaet, settet med aktive utvidelser og antall sidemaltyper.

#BFSG, NIS2 og DORA i leverandørvurderingen

Innkjøpsteam i regulerte sektorer (bank, forsikring, helse) slår stadig oftere sammen tre filtre til én leverandørvurdering:

• Samsvar med tilgjengelighetskravene i BFSG / EAA.
• Dokumentasjon på risikostyring etter artikkel 21 i NIS2.
• Tredjepartsklausuler etter artikkel 28 i DORA (for finansielle foretak).

En WordPress-butikk utenfor regulerte sektorer har bare BFSG å forholde seg til. En aktør som i tillegg behandler betalinger, har forsikringspartnerskap eller leverer til regulerte bransjer, må forholde seg til alle tre. Leverandørsikkerhetspakken jeg leverer i slike oppdrag, svarer på hvert filter med et eget kort dokument, med kryssreferanser mellom dem.

#Relaterte tekster om regelverk

• Pilar: NIS2 og DORA for WordPress: regelverksstakken for 2026
• NIS2 vedlegg II for WordPress-byråer: omfang, frister, bevisspor
• DORA artikkel 28 IKT-tredjepartsrisiko: revisjon av hosting- og WAF-leverandør for WordPress
• Cyber Resilience Act + NIS2 + DORA: regelverksstakken for 2026 for headless WordPress

#Slik forbereder du butikken på en BFSG-revisjon

Avklar først om butikken i det hele tatt er omfattet. Salg til forbrukere i Tyskland er en tjeneste innen elektronisk handel etter § 1 BFSG. Et foretak med færre enn 10 ansatte og en omsetning eller balansesum på opptil 2 mill. EUR kan bruke unntaket i § 3 tredje ledd, men det dekker bare pliktene knyttet til tjenester, mens produktene som selges, fortsatt er omfattet. De øvrige EU-pliktene for en nettbutikk dekkes av WooCommerce EU-beredskap.

Er butikken omfattet, begynner du med utvidelsene som oftest stryker: cookiebanner, slider, popup og produktgalleri. Gå gjennom hver av dem kun med tastatur, og sjekk hvor fokus havner når et vindu lukkes. Deretter reviderer du temaet mot WCAG 2.2 AA og skjemaene i kassen.

Til slutt lager du tilgjengelighetsinformasjonen på tysk, lenket fra bunnteksten, med samsvarsnivå, kjente begrensninger, kontaktinformasjon og MLBF som ansvarlig myndighet. Noter hva du testet med: NVDA på Windows, VoiceOver på macOS, navigasjon uten mus. Bøtene etter § 37 går opp til 100 000 EUR, så erklæringen skal beskrive det som faktisk fungerer i butikken. Selger du i flere EU-land? Dokumenter samsvaret én gang, etter den strengeste gjennomføringen.