EU-samsvarsrevisjon for WordPress: tilgjengelighet, NIS2/DORA, AI Act

#EU-samsvarsrevisjon for WordPress: én bestilling i stedet for tre siloer

EU-anskaffelsesteam scorer i økende grad tilgjengelighet, cybersikkerhet og KI på samme leverandørark. Du har allerede artikler om WCAG, BFSG og EAA, om NIS2 og DORA på WordPress og om AI Act-innholdsmerking. Det som manglet var en tjeneste som lukker alle tre trådene på én WordPress-installasjon uten tre leverandører og tre inkonsistente rapporter.

EU-samsvarsrevisjonen er en konsolidert teknisk gjennomgang: hva på nettstedet ditt bryter eller risikerer å bryte plikter under direktiv 2019/882 (EAA), direktiv 2022/2555 (NIS2), forordning 2022/2554 (DORA) og forordning 2024/1689 (AI Act). Vi forklarer ikke direktivene på nytt her - lenker peker til bloggene våre og EUR-Lex.

Frister driver etterspørselen: EAA gjelder for nye tjenester fra 2025-06-28, NIS2 er transponert i medlemsland med plikter for vesentlige og viktige enheter, DORA dekker finansielle tjenester fra 2025-01-17, og AI Act trer inn i faser fra 2025. Hvis en innkjøper ber om bevis før du signerer, gir denne revisjonen svar i et format anskaffelse kan arkivere.

#Hva EU-samsvarsrevisjonen dekker

Tabellen under er det tekniske omfanget på WordPress. Juridiske detaljer og implementeringssjekklister ligger i de lenkede artiklene - her angir vi bare hva vi måler på installasjonen din.

Revisjonen erstatter ikke juridisk rådgivning eller et formelt VPAT. Den gir et teknisk hullkart som eksterne advokater eller revisorer kan inkludere i en bredere vurdering uten å skanne kode på nytt.

#Leveranser

Ved avslutning mottar du tre artefakter anskaffelse faktisk leser:

1. Skriftlig rapport (PDF) fordelt på tre regimer. Hvert funn har P0-P3-prioritet, bevis (skjermbilde, kodeutdrag, logg) og remedieringsinstruksjoner en WordPress-utvikler kan implementere uten ping-pong.
2. Remedierings-backlog klar for Jira, Linear eller regneark - avhengigheter, innsatsantydninger og om rettelsen hører hjemme i tema, plugin eller hostingkonfigurasjon.
3. Anskaffelsesbevispakke - IKT-leverandørkart (hosting, CDN, betalinger, e-post, analyse), plugin-versjoner, oppdateringspolicy, hendelsesvarslingssti-skisse i tråd med NIS2-forventninger.

Pluss en 30-minutters videogjennomgang for teknikk og compliance. Vi svarer på oppfølgingsspørsmål i 30 dager mens dere jobber gjennom backlogen.

#Bevis og godkjenningskriterier

Hvert funn får en identifikator, berørt URL eller mal, miljø, trinn for gjenskaping, forventet oppførsel og et bevis som skjermbilde, kodeutdrag, svarhode eller konfigurasjonseksport. Påloggingsdata og unødvendige personopplysninger fjernes før materialet tas inn i rapporten.

Automatiske skannere brukes til dekning, ikke som endelig konklusjon. Tilgjengelighetsutvalget omfatter tastaturbruk, fokusrekkefølge, feilgjenoppretting og utvalgte skjermleserkontroller på kritiske flyter. Sikkerhet og robusthet sammenligner den faktiske oversikten over utvidelser og integrasjoner med eierskap, oppdateringsrutiner og hendelsesprosedyre. AI-kontroller vurderes mot verktøyene som faktisk brukes, dataflytene og informasjonen som er synlig for brukeren.

Et funn lukkes bare i én av tre tilstander:

1. Utbedret og kontrollert på nytt med opprinnelig metode og nytt bevis.
2. Kompenserende kontroll godkjent med eier, dato for ny vurdering og beskrivelse av gjenværende begrensning.
3. Risiko skriftlig akseptert av kunden, separat fra vår tekniske anbefaling.

Tilgang følger prinsippet om minste privilegium. Der det er praktisk, foretrekker vi lesekontoer og en kopi av produksjonen, bekrefter fjerning av tilgang ved overlevering og behandler arbeidskopier etter avtalt lagringsperiode. Sluttrapporten angir teknisk omfang og dato; den presenteres ikke som varig sertifisering eller juridisk rådgivning.

#Hvem trenger dette

Ikke alle WordPress-nettsteder trenger fullt tre-moduls omfang. Mest bestilt av:

• WooCommerce-butikker som selger til EU-kunder etter EAA-datoen - spesielt checkout, produktfiltre og kontaktskjemaer.
• Regulerte sektorer (finans, forsikring, kritisk infrastruktur) eller deres IKT-leverandører, der NIS2 og DORA lander i samme anbud som tilgjengelighet.
• Offentlig sektor og statlige leverandører som må vise WCAG- og leverandørkjedebevis før rammeavtale.
• Byråer som selger WordPress til EU-innkjøpere og vil ha én referanserevisjon i stedet for tre underleverandørtilbud.

Er du mikrobedrift med smalt EAA-unntak, sier vi det på første samtale og fakturerer ikke moduler utenfor omfanget.

#Hvordan oppdraget gjennomføres

Fem steg fra howTo-frontmatter - i praksis:

Steg 1 - brief. Beskriv nettstedstype, land, sektor og integrasjoner (betalinger, CRM, KI-verktøy). Uten dette er regime-scoping gjetting.

Steg 2 - regime-scoping. På samtalen bekrefter vi om EAA, NIS2/DORA, AI Act eller et delsett gjelder. Vi peker til blogger hvis internt team trenger juridisk kontekst før signering.

Steg 3 - tilbud. Individuelt tilbud, tidsplan, nødvendig tilgang (staging, read-only SFTP, plugin-liste).

Steg 4 - revisjon. Automatisert WCAG-skanning på representative URL-er, manuelt utvalg av kritiske stier, plugin-gjennomgang for NIS2/DORA, AI-merkingssjekk. Vi kan lukke P0-hull parallelt hvis kontraktsfestet.

Steg 5 - rapport og overlevering. PDF, backlog, bevispakke, opptak. Valgfritt går vi videre til remediering eller løpende WordPress-vedlikehold med kvartalsvis re-revisjon av utvalgte moduler.

#Bevis fra praksis

I Q2 2026 fullførte vi EAA-scoping for en anonymisert WooCommerce-butikk levert til en norsk offentlig innkjøper (40+ produkter, standard blokktema, tre betalings- og markedsføringsplugins). Anbudet krevde universell utforming etter Digdir-praksis og leverandørkjededokumentasjon i tråd med NIS2-forventninger. Innen to uker etter kick-off leverte vi en WCAG-rapport med 23 funn, sju merket P0 på checkout (feltetiketter, fokusfelle i minikurv, kontrast på betal-knapp). Backlogen gikk til kundeteamet som ferdige tickets; vi lukket P0-remediering i påfølgende sprint. Ingen kundenavn, ingen oppdiktede metrikker - typisk prosjektprofil etter EAA-datoen.

#Relaterte tjenester og dybdemateriale

Denne revisjonen samler tre søyler. Trenger du dypere dykk i ett regime, finnes frittstående tjenester:

Bloggdybdemateriale (detaljer her, ikke gjentatt over):

• WCAG 2.2, BFSG og EAA: compliance-stack 2026
• EAA og WCAG 2.1: hvordan implementere digital tilgjengelighet
• Tilgjengelighetserklæring for WordPress: mal og EN-301-549-kartlegging
• NIS2 og DORA på WordPress: compliance-stack 2026
• NIS2 vs DORA: overlapp i omfang for WordPress-byråer i 2026
• AI Act: merking av AI-generert innhold
• AI-transparenspolicy

Primærkilder (EUR-Lex): EAA 2019/882, NIS2 2022/2555, DORA 2022/2554, AI Act 2024/1689.

Klar til å bestille revisjonen? Send brief via kontaktskjemaet med nettstedstype, sektor og fristen du må vise compliance-bevis innen.