Цифровото съответствие в ЕС през 2026 г.: правилата, които вече стигат до вашия код

В продължение на около седем години ОРЗД беше единственият европейски регламент, който всеки продуктов екип знаеше по име. Ако поддържахте уебсайт с европейски потребители, научавахте за правните основания, изграждахте банер за бисквитките, подписвахте договори за обработване на данни и продължавахте напред.

Тази епоха приключи. Между 2024 и 2028 г. Европейският съюз приема цял пакет цифрови регламенти, всеки от които поотделно е толкова взискателен, колкото беше ОРЗД, а заедно навлизат много по-дълбоко. Разликата е, че новите правила не спират до политиката за поверителност. Те стигат до процеса на поръчка, библиотеката ви от компоненти, процеса за реагиране на инциденти, спецификацията на софтуерните компоненти (SBOM) и модела на продуктовите ви данни.

Ние разработваме и поддържаме софтуер за компании, които работят в Европа, и прекарваме голяма част от седмицата си в превръщане на тези задължения в задачи. Това е нашата работна карта на това какво се прилага сега, какво предстои и какво всичко това реално означава за хората, които пишат кода.

Защо тази вълна е различна

ОРЗД беше предимно хоризонтален. Един регламент, един набор от принципи, приложими за всеки, който обработва лични данни. Вълната от 2024 до 2028 г. е вертикална и припокриваща се. Една средно голяма компания за електронна търговия, която продава свързани устройства за дома в Германия и Франция, вече може едновременно да попада в обхвата на поне осем отделни акта, всеки със собствен регулатор, собствен срок и собствено определение кой носи отговорност.

От това следват три практически последствия.

Първо, съответствието вече не е нещо, което можете да прикачите преди пускането. Няколко от тези правила изискват решения в архитектурата, а лошо взето решение през втория месец струва пълна преработка през двадесетия.

Второ, техническите артефакти имат по-голямо значение от документацията. Регулаторите все по-често искат машинночетими доказателства: спецификация на софтуерните компоненти, оценка на съответствието, декларация за достъпност, запис на съгласието, хронология на инцидента. Никого не впечатлява политика, която описва контрол, несъществуващ в системата.

Трето, сроковете са разпределени във времето и някои от тях са се изместили. След пакета Digital Omnibus, предложен през ноември 2025 г., части от Акта за изкуствения интелект бяха отложени, докато други останаха точно където си бяха. Екипите, които са прочели едно заглавие и са спрели дотам, сега планират по грешните дати.

Какво се прилага в момента

ОРЗД, все още основата

Нищо в новата вълна не заменя Общия регламент относно защитата на данните. Той остава базовият слой и от него все още идват най-големите глоби. Ако моделът на данните ви, задачите за срокове на съхранение и процесът за искания за достъп от субектите на данни са слаби, всичко, изградено отгоре, наследява тази слабост. Написали сме отделно ръководство с инженерен фокус в нашето практическо ръководство за ОРЗД за уебсайтове.

Европейският акт за достъпността

Директива (ЕС) 2019/882 се прилага от 28 юни 2025 г., а прилагането ѝ от надзорните органи набира скорост през 2026 г. Тя обхваща електронната търговия, насочена към потребители, банкирането, билетите за транспорт, телекомуникациите, електронните книги и още. Техническият еталон е EN 301 549. Версия 4.1.1, публикувана през септември 2026 г., преминава към WCAG 2.2, но докато Комисията не я цитира в Официален вестник, референцията за презумпция за съответствие остава v3.2.1, която съответства на WCAG 2.1, ниво AA.

Тази директива изненадва хората, защото не е упражнение по документиране. Тя изисква реални промени в маркирането, управлението на фокуса, цветовия контраст, обработката на грешки във формулярите и навигацията с клавиатура. Френски съд вече задължи Carrefour да постигне съответствие под заплаха от дневна санкция. Подробностите са в нашето ръководство за Европейския акт за достъпността.

Актът за данните

Регламент (ЕС) 2023/2854 се прилага от 12 септември 2025 г. Той дава на потребителите право на данните, които генерират свързаните им продукти, и задължава доставчиците на облачни услуги да направят смяната на доставчик реална, а не теоретична. От 12 септември 2026 г. свързаните продукти и свързаните с тях услуги, пускани за първи път на пазара, трябва да са проектирани така, че данните да са достъпни по подразбиране, което е изискване към архитектурата, а не правно изискване. Вижте нашето ръководство за Акта за данните.

NIS2

Държавите членки транспонират NIS2 с много различна скорост. Германия отвори портала си за регистрация на 6 януари 2026 г., Нидерландия въведе закона си в сила на 15 август 2026 г., а други държави все още наваксват. Ако попадате в обхвата, дължите уведомления за инциденти в рамките на 24 часа и дължите на клиентите си доказателства, че управлявате риска във веригата на доставки. Практическата страна е разгледана в нашето практическо ръководство за NIS2.

Проверка на получателя (Verification of Payee)

От 9 октомври 2025 г. доставчиците на платежни услуги в еврозоната трябва да предлагат безплатна проверка дали името на получателя съответства на IBAN, преди преводът да бъде потвърден. За всеки, който изгражда процеси за плащания или изплащания, това добави нова стъпка преди потвърждението и нов набор от състояния на частично съвпадение, които трябва да се обработят в интерфейса. Разгледахме темата в моментални плащания и проверка на получателя.

Етапите през 2026 г.

2 август 2026 г.: прозрачност по Акта за изкуствения интелект

Задълженията по член 50 вече са в сила. Ако продуктът ви общува с потребителите чрез чатбот, трябва да им кажете, че разговарят с машина. Ако генерира синтетичен звук, изображения, видео или текст, резултатът трябва да бъде маркиран по машинночетим начин. Следващ пакет, включително подробности за водните знаци и забрана на инструментите за „събличане" (nudification), следва на 2 декември 2026 г.

По-тежките задължения за високорисковите системи бяха изместени. Самостоятелните системи по приложение III вече имат срок до 2 декември 2027 г., а ИИ, вграден в регулирани продукти, до 2 август 2028 г. Това е реална отсрочка, но само за високорисковото ниво. Пълната разбивка е в нашата статия за прозрачността по Акта за изкуствения интелект.

11 септември 2026 г.: докладване по Акта за киберустойчивост

От 11 септември 2026 г. производителите на продукти с цифрови елементи трябва да докладват активно експлоатирани уязвимости и тежки инциденти чрез единна платформа на ЕС за докладване. Ранно предупреждение до 24 часа, пълно уведомление до 72 часа, окончателен доклад до 14 дни. Не можете да спазите срок от 24 часа, без да знаете какво има в продукта ви, и затова екипите изграждат процеси за SBOM година преди официалното задължение за SBOM. Вижте ръководството за CRA.

12 септември 2026 г.: задълженията по Акта за данните за проектирането

Изискването за проектиране с оглед на достъпа вече се прилага за продуктите, пускани за първи път на пазара.

27 септември 2026 г.: Директивата за овластяване на потребителите

От 27 септември 2026 г. общите екологични твърдения загубиха правната си защита, етикетите за устойчивост трябва да бъдат проверени, а хармонизирано известие и етикет за търговските гаранции трябва да се появяват в процеса на покупка. Това е промяна в съдържанието и шаблоните на продуктовите страници, страниците на категориите и поръчката. Разгледано в екологичните твърдения и съответствието на продуктовите данни.

24 декември 2026 г.: Европейският портфейл за цифрова самоличност

Всяка държава членка трябва да предостави поне един портфейл. Задължените доверяващи се страни, включително банки, транспорт, енергетика, здравеопазване и телекомуникации, трябва да го приемат от декември 2027 г. Ако искате да го приемате отрано, трябва да се регистрирате като доверяваща се страна и да поддържате форматите на удостоверенията на портфейла. Какво включва това, обяснява нашето ръководство за интеграция на портфейла EUDI.

Какво все още се променя

Две досиета си струва да следите, без да планирате прекалено около тях.

Digital Omnibus във вида, предложен от Комисията, би вкарал правилата за съгласие за бисквитките в самия ОРЗД чрез предложените член 88а и член 88б. Основните промени са приемане или отказ с едно кликване, правило срещу повторно питане в продължение на шест месеца на потребителите, които са отказали, и правно обвързващи машинночетими сигнали за съгласие. Компромисният текст на Съвета от 2 октомври 2026 г. се отклонява: той запазва правилата за бисквитките в Директивата за правото на неприкосновеност на личния живот и електронните комуникации (ePrivacy), отпада обвързващите сигнали от браузъра и съкращава изчакването до четири месеца. Към 10 октомври 2026 г. Съветът не беше приел мандата си, Парламентът нямаше позиция, а тристранните преговори не бяха започнали. Нищо не е окончателно и не бихме преизградили платформа за съгласие с допускането, че текстът ще мине без промени, но посоката е достатъчно ясна, за да повлияе на архитектурата ѝ. Прочетете нашето мнение в съгласието за бисквитките след Digital Omnibus.

Digital Fairness Act все още е на етап предложение, което се очаква в края на 2026 г., и е насочен право срещу тъмните модели (dark patterns), персонализираното ценообразуване и пристрастяващия дизайн. Реалистично ще се прилага някъде между 2028 и 2030 г. Днес той има значение само защото ви показва кои модели в интерфейса живеят на заето време.

Платежният слой, който никой не е планирал

Има още една промяна, която изобщо не е регламент, но се държи като такъв заради скоростта, с която се разпространява по европейските страници за плащане.

Wero, портфейлът, създаден от European Payments Initiative, премина от преводи между физически лица към електронната търговия през 2025 и 2026 г. Той сетълира чрез моментални кредитни преводи SEPA (SEPA Instant Credit Transfer) за около десет секунди и изцяло заобикаля картовите схеми. Lidl обяви поддръжка в lidl.de през юли 2026 г., а приемането в магазините и белгийският и френският онлайн магазин следват по-късно през годината. Decathlon, Rossmann, Hornbach, Eventim и други вече работят с него.

Никой не е задължен по закон да приема Wero. Но когато дискаунтър с присъствието на Lidl добави начин на плащане, останалата част от пазара обикновено го следва, а интеграцията не е безплатна работа: тя засяга процеса на поръчка, машината на състоянията на поръчките, логиката за възстановяване на суми и равняването. Описахме я в ръководството за интеграция на Wero.

Как да подредите всичко това, без да загубите едно тримесечие

Инстинктът е да откриете работен поток за съответствие и да опитате да приключите всичко. Обикновено резултатът е електронна таблица и много малко внедрен код. Според нашия опит по-добре работи следното:

Започнете с обхвата и бъдете честни. Повечето от тези правила имат прагове, изключения и определения, които съществено променят това, което дължите. Микропредприятие, което предоставя услуги, е извън голяма част от Акта за достъпността. Компания, която не произвежда продукти с цифрови елементи, е извън CRA. Половин час с действителните членове за обхвата спестява месеци.

Намерете припокриванията и изградете веднъж. Работата по достъпността по EAA подобрява и изискванията за яснота в правилата за прозрачност на Акта за изкуствения интелект. Инфраструктурата за съгласие, изградена за ОРЗД, поема по-голямата част от тежестта на промените по Digital Omnibus. Процес за SBOM, изграден за CRA, отговаря на голяма част от въпросите за веригата на доставки по NIS2. Третирайте ги като обща платформена работа, а не като дванадесет отделни проекта.

Първо поправете нещата, които изискват решения в архитектурата. Достъпът до данни по подразбиране, приемането на удостоверения, семантиката за достъпност и архитектурата на съгласието са скъпи за добавяне впоследствие. Процесите за докладване и документацията не са. Подредете работата според това.

Запишете какво сте решили и защо. Повечето от тези режими очакват да можете да обясните мотивите си, а не само да покажете зелена отметка. Кратък запис на архитектурно решение е по-добър от дълга политика в PDF.

Нашето място в това

Ние сме софтуерна компания, а не адвокатска кантора, и го казваме ясно на всеки клиент. Не издаваме правни становища. Това, което правим, е да вземем тълкуванието, до което е стигнал вашият правен екип, и да го превърнем в работещи системи: платформи за съгласие, достъпни библиотеки от компоненти, API за достъп до данни, процеси за SBOM, интеграции на портфейли, процеси за плащане и скучната инфраструктура под всичко това.

Екипите ни работят от Любляна и Нови Сад, в самата регулаторна среда, която описваме, което означава, че спазваме тези срокове и за собствените си продукти.

Ако се опитвате да разберете кои от тези правила наистина се отнасят за вас, или имате дата в календара и никакъв план зад нея, свържете се с нас на office@c9group.dev. Можете да прочетете повече за това как подкрепяме компании, които навлизат или се разрастват в Европа, на нашата страница за навлизане на европейския пазар.