UU-forskriften: krav, tilsyn og bøter for nettsteder

Universell utforming av digitale løsninger har vært norsk lov siden 2013. Likevel er det fortsatt et klart mindretall av norske nettsteder som faktisk oppfyller kravene.

Mange tror regelverket bare gjelder det offentlige. Andre tror kravene handler om blindhet og skjermlesere alene. Begge deler er feil.

Her er hva UU-forskriften faktisk krever, hvem som er ansvarlig, og hva som skjer når UUTilsynet banker på.

Hva er UU-forskriften?

Forskrift om universell utforming av IKT-løsninger — kalt UU-forskriften — ble fastsatt i 2013 og er hjemlet i likestillings- og diskrimineringsloven. Formålet er at nettsteder, apper og andre digitale løsninger skal kunne brukes av alle, uansett funksjonsevne.

Rent teknisk betyr det at løsningene skal tilfredsstille WCAG — Web Content Accessibility Guidelines fra W3C. Det er de samme retningslinjene som UUTilsynet bruker som målestokk i tilsyn.

UUTilsynet ble etablert i 2014 og er underlagt Digitaliseringsdirektoratet. De avgjør hvem som får tilsynssak, og hvem som i siste instans ilegges dagbøter.

Hvem er omfattet?

Regelverket gjelder nettsteder og apper rettet mot allmennheten. Det dekker i utgangspunktet alle virksomheter — offentlige og private.

Offentlig sektor

Staten, fylkeskommuner, kommuner og statlig finansierte virksomheter er fullt ut omfattet. Det betyr alle nettsteder rettet mot innbyggere, brukere eller allmennheten — fra kommunale informasjonssider til nasjonale digitale tjenester.

Privat sektor

Private virksomheter er også omfattet hvis de tilbyr tjenester eller informasjon til allmennheten. Det gjelder nettbutikker, banker, forsikringsselskaper, ideelle organisasjoner og andre med offentlig tilgjengelige nettsteder.

Hva er unntatt?

Unntakene er smale. Internt ansattevendte systemer — intranett, fagsystemer, administrative verktøy — er ikke regulert. Det er bare løsninger rettet mot brukere utenfor virksomheten som er dekket. Innhold publisert av tredjepart som virksomheten ikke kontrollerer, er heller ikke omfattet.

Mikrovirksomheter (under 10 ansatte) har en noe lettere inngangsterskel, men er ikke frielkort fra loven. Den praktiske huskeregelen: er nettstedet ditt ment for kunder, innbyggere eller andre utenfor organisasjonen, gjelder reglene.

Hva krever loven?

Kravene er ikke identiske for de to sektorene. Det er en viktig distinksjon som mange overser.

Offentlig sektor: WCAG 2.1 nivå A og AA

Offentlige virksomheter skal tilfredsstille alle suksesskriterier i WCAG 2.1 på nivå A og AA. Det utgjør 48 av 78 krav i standarden. De 12 ekstra kravene sammenliknet med privat sektor handler blant annet om teksting av forhåndsinnspilt video og tilleggskrav til kontrast.

I tillegg er tilgjengelighetserklæring obligatorisk for offentlig sektor.

Privat sektor: WCAG 2.0 nivå A og AA

Private virksomheter skal oppfylle 35 suksesskriterier fra WCAG 2.0 — nivå A og AA, med tre unntak (1.2.3, 1.2.4 og 1.2.5 som gjelder lydbasert alternativ til video). Ingen plikt til tilgjengelighetserklæring.

I praksis er overlappet stort. De fleste WCAG 2.0-kravene er videreført i WCAG 2.1. Kontrast, tastaturnavigasjon, alternativ tekst på bilder og korrekt skjemahåndtering gjelder begge steder.

Vil du se hele listen av krav? WCAG 2.1 AA-sjekklisten gir en oversikt over alle 50 krav med typiske norske feil per suksesskriterium.

Tilgjengelighetserklæring — hva er det?

En tilgjengelighetserklæring er et dokument der virksomheten selv redegjør for i hvilken grad nettstedet oppfyller WCAG-kravene. Den skal inneholde:

• hvilke krav som er oppfylt
• hvilke avvik som finnes, og begrunnelse for dem
• plan og frist for utbedring
• kontaktinformasjon for tilbakemeldinger fra brukere

For offentlig sektor er erklæringen obligatorisk. Den skal leveres via Digdirs løsning på uustatus.no og oppdateres minimum én gang per år — og ved vesentlige endringer i nettstedet.

Å fylle ut de 48 kravene riktig er ikke trivielt. Det er fort gjort å oppgi «ikke vurdert» der man burde ha «delvis», eller å sette «ja» på krav som ikke faktisk er testet. Vi har gått gjennom alle punktene i vår gjennomgang av Digdirs 48-krav-sjekkliste, med konkrete tips til hvert enkelt punkt.

Slik fører UUTilsynet tilsyn

UUTilsynet bruker to tilnærminger. De gjennomfører forenklede kontroller av mange virksomheter samtidig, og de gjennomfører grundige sektortilsyn av færre virksomheter.

I de forenklede kontrollene ser tilsynet typisk etter om tilgjengelighetserklæringen er publisert og oppdatert. Svikter det der, sender tilsynet et varsel om retting. Virksomheter som ikke retter innen fristen, risikerer dagbøter.

I sektortilsynene går de dypere. Nettstedet testes mot et utvalg av WCAG-kravene, og tilsynet gir en skriftlig rapport med konkrete avvik og frister for utbedring. Her kan bøtene settes høyere.

Tilsynet gjennomfører jevnlig kontroller av offentlige virksomheter og varsler at brudd som ikke rettes, vil møte strengere reaksjoner enn første gang. Kommuner, statsetater og offentlige selskaper kan komme i søkelyset uten forvarsel.

Hva skjer ved brudd?

Tilsynet begynner alltid med et varsel og en frist. Virksomheten får mulighet til å rette seg selv. Men hvis fristen ikke overholdes, kan UUTilsynet vedta dagbøter.

For manglende tilgjengelighetserklæring er standardsatsen 5 000 kroner per dag fra fristen løper ut.

For faktiske WCAG-brudd etter en tilsynssak fastsettes bøten ut fra hva det koster virksomheten å unnlate å rette. Prinsippet er at det ikke skal lønne seg å la feilene stå. I en konkret sak mot en norsk kommune ble satsen satt til 35 000 kroner per arbeidsdag.

Virksomheter som retter feilene i tide unngår bøtene. De fleste tilsynssaker løses uten at bøter faktisk betales — men varselet og kravet om retting er formelt og forpliktende.

Vanlige avvik UUTilsynet finner

Disse avvikene går igjen i tilsynsrapporter og automatiserte skanninger:

• Manglende eller utdatert tilgjengelighetserklæring — oftest det første tilsynet reagerer på.
• For dårlig kontrast — tekst mot bakgrunn som ikke oppfyller WCAG 1.4.3 (minimum 4,5:1 for normaltekst).
• Skjema uten korrekt feilhåndtering — brukeren får ikke vite hva som er feil, eller feilen er bare markert med farge uten tekstlig forklaring.
• Manglende tastaturnavigasjon — elementer som ikke kan nås eller aktiveres uten mus.
• Manglende alternativ tekst på bilder — særlig funksjonelle bilder og ikonknapper uten lesbar beskrivelse.
• PDF-er uten struktur — skannet eller ikke-taggede PDF-er som ikke kan leses av skjermlesere.

Mange av disse feilene fanges ikke av en visuell gjennomgang. Du trenger enten en systematisk gjennomgang mot sjekklisten eller et automatisert skanneverktøy.

Fem steg for å komme i gang

Du trenger ikke gjennomgå alle 48 krav på en gang. Her er en realistisk startliste:

1. Kjør en automatisk skanning med Vordr eller et verktøy som axe DevTools. Det gir en baseline over tekniske avvik på sekunder.
2. Sjekk kontrast på all tekst. Bruk et kontrastverktøy mot alle kombinasjoner av tekst og bakgrunn. Minimum 4,5:1 for normaltekst, 3:1 for stor tekst.
3. Test tastaturnavigasjon. Åpne nettstedet og bruk bare Tab, Enter og piltaster. Kan du nå og aktivere alle interaktive elementer? Er fokusmarkering synlig hele veien?
4. Sjekk alle skjemaer. Fyll ut feil med vilje. Får du en tydelig tekstlig feilmelding som forklarer hva som er galt — ikke bare rød ramme?
5. Publiser tilgjengelighetserklæring hvis du er i offentlig sektor. Se vår artikkel om tilgjengelighetserklæringen for hva hvert krav betyr i praksis.

Har du også ikke-essensielle cookies på nettstedet, gjelder separate krav etter ekomloven. Det er et annet regelverk med egne sanksjoner — se hva samtykke til cookies krever i 2026.