I sag E-20/25, EFTA-Tilsynsmyndigheden mod Kongeriget Norge, hvori EFTA-Tilsynsmyndigheden har nedlagt påstand om, at det fastslås, at den norske regering ikke har truffet de foranstaltninger, der er nødvendige for at inkorporere den retsakt, der er nævnt i punkt 5cpaa i bilag XI til aftalen om Det Europæiske Økonomiske Samarbejdsområde (Kommissionens gennemførelsesforordning (EU) 2018/151 af 30. januar 2018 om regler for anvendelsen af Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 for så vidt angår yderligere specifikation af de elementer, som udbydere af digitale tjenester skal tage i betragtning for at styre risiciene i forhold til sikkerheden i net- og informationssystemer, og af kriterierne for bestemmelse af, om en hændelses konsekvenser er betydelige), som tilpasset ved protokol 1 til EØS-aftalen, i sin nationale retsorden, har Domstolen, sammensat af præsidenten Páll Hreinsson og dommerne Bernd Hammermann (refererende dommer) og Michael Reiertsen, afsagt dom den 11. marts 2026.

Domskonklusionen lyder således: