EU digital compliance i 2026: reglerne der nu rækker helt ind i koden

I omkring syv år var GDPR den ene europæiske regulering, som ethvert produktteam kendte ved navn. Drev du et website, der berørte europæiske brugere, lærte du om behandlingsgrundlag, byggede et cookiebanner, underskrev databehandleraftaler og gik videre.

Den æra er forbi. Mellem 2024 og 2028 leverer EU en stak digitale regelsæt, som hver for sig er lige så krævende, som GDPR var, og samlet langt mere indgribende. Forskellen er, at disse nye regler ikke stopper ved privatlivspolitikken. De rækker ind i din kasse, dit komponentbibliotek, din hændelseshåndtering, din softwarekomponentliste og din produktdatamodel.

Vi bygger og vedligeholder software til virksomheder, der opererer i Europa, og vi bruger en god del af ugen på at oversætte disse pligter til opgaver. Dette er vores arbejdskort: hvad der gælder nu, hvad der kommer næste gang, og hvad det hele betyder for folk, der skriver kode.

Hvorfor denne bølge er anderledes

GDPR var stort set horisontal. Én forordning, ét sæt principper, gældende for alle, der behandler personoplysninger. Bølgen fra 2024 til 2028 er lodret og overlappende. En mellemstor e-handelsvirksomhed, der sælger forbundne enheder i Tyskland og Frankrig, kan i dag falde ind under mindst otte separate regelsæt samtidig, hvert med sin tilsynsmyndighed, sin frist og sin definition af, hvem der er ansvarlig.

Tre praktiske konsekvenser følger af det.

For det første kan compliance ikke længere skrues på lige inden lancering. Flere af disse regler kræver designbeslutninger, og en dårlig designbeslutning i måned to koster en ombygning i måned tyve.

For det andet tæller de tekniske artefakter mere end papirarbejdet. Tilsynsmyndigheder beder i stigende grad om maskinlæsbare beviser: en softwarekomponentliste, en overensstemmelsesvurdering, en tilgængelighedserklæring, en samtykkelog, en hændelsestidslinje. Ingen bliver imponeret af et policydokument, der beskriver en kontrol, som ikke findes i systemet.

For det tredje er fristerne trinvise, og nogle har flyttet sig. Efter Digital Omnibus-pakken, der blev foreslået i november 2025, blev dele af AI-forordningen udskudt, mens andre dele blev stående nøjagtig, hvor de var. Teams, der læste én overskrift og stoppede der, planlægger nu efter forkerte datoer.

Hvad der gælder lige nu

GDPR, stadig fundamentet

Intet i den nye bølge erstatter databeskyttelsesforordningen. Den forbliver grundlaget, og det er stadig derfra, de største bøder kommer. Er datamodellen, sletterutinerne og indsigtsprocessen svag, arver alt, der bygges ovenpå, den svaghed. Vi har skrevet en særskilt, ingeniørrettet vejledning: vores praktiske GDPR-guide til websites.

Det europæiske tilgængelighedsdirektiv

Direktiv 2019/882 har gældt siden 28. juni 2025, og håndhævelsen tog til gennem 2026. Det dækker forbrugerrettet e-handel, banktjenester, billettering i transport, telekommunikation, e-bøger og mere. Den tekniske målestok er EN 301 549, som i dag svarer til WCAG 2.1 niveau AA, med en revision mod WCAG 2.2 ventet.

Dette overrasker folk, fordi det ikke er en dokumentationsøvelse. Det kræver reelle ændringer i markup, fokushåndtering, farvekontrast, fejlhåndtering i formularer og tastaturnavigation. En fransk domstol har allerede pålagt Carrefour at opnå overensstemmelse under daglig tvangsbøde. Detaljer i vores guide til tilgængelighedsdirektivet.

Data Act

Forordning 2023/2854 har gældt siden 12. september 2025. Den giver brugere ret til de data, deres forbundne produkter genererer, og tvinger cloududbydere til at gøre skift realistisk i stedet for teoretisk. Fra 12. september 2026 skal forbundne produkter og tilknyttede tjenester, der nyligt bringes på markedet, være udformet, så data er tilgængelige som standard, hvilket er et arkitekturkrav og ikke et juridisk. Se vores Data Act-gennemgang.

NIS2

Medlemsstaterne har gennemført NIS2 i meget forskelligt tempo. Tyskland åbnede registreringsportalen 6. januar 2026, Holland satte loven i kraft 15. august 2026, og andre lande halter stadig. Er du omfattet, skylder du underretninger på et 24-timers ur, og du skylder dine kunder bevis for, at du håndterer leverandørkæderisiko. Vores NIS2-praksisguide dækker den operative side.

Modtagerkontrol

Siden 9. oktober 2025 har betalingstjenesteudbydere i euroområdet skullet tilbyde gratis kontrol af, at modtagerens navn stemmer med IBAN, før en overførsel bekræftes. For dem, der bygger betalings- eller udbetalingsflows, tilføjede det et trin før bekræftelse og et nyt sæt næsten-match-tilstande at håndtere i grænsefladen. Vi dækkede det i straksbetalinger og modtagerkontrol.

Hvad der kommer de næste tolv måneder

2. august 2026: gennemsigtighed i AI-forordningen

Pligterne i artikel 50 gælder nu. Taler dit produkt med brugere gennem en chatbot, skal du fortælle dem, at de taler med en maskine. Genererer det syntetisk lyd, billeder, video eller tekst, skal outputtet mærkes maskinlæsbart. Yderligere en del, herunder detaljer om vandmærkning og et forbud mod afklædningsapps, følger 2. december 2026.

De tungere højrisikopligter har flyttet sig. Fritstående systemer i bilag III har nu frist til 2. december 2027, og AI indlejret i regulerede produkter til 2. august 2028. Det er et reelt pusterum, men kun for højrisikoniveauet. Fuld gennemgang i vores artikel om AI-gennemsigtighed.

11. september 2026: indberetning efter Cyber Resilience Act

Producenter af produkter med digitale elementer skal indberette aktivt udnyttede sårbarheder og alvorlige hændelser via én EU-platform. Tidlig varsling inden 24 timer, fuld underretning inden 72 timer, slutrapport inden 14 dage. Du klarer ikke et 24-timers ur uden at vide, hvad der er i dit produkt, og derfor bygger teams SBOM-pipelines et år før den formelle pligt. Se CRA-guiden.

12. september 2026: designpligter i Data Act

Kravet om at designe til dataadgang bider for produkter, der nyligt bringes på markedet.

27. september 2026: direktivet om styrkelse af forbrugerne

Generelle miljøanprisninger mister deres retlige dækning, bæredygtighedsmærker skal verificeres, og en harmoniseret oplysning og et mærke om kommercielle garantier skal vises i købsforløbet. Det er en indholds- og skabelonændring på produktsider, kategorisider og i kassen. Behandlet i miljøanprisninger og produktdata.

24. december 2026: EU's digitale identitetstegnebog

Hver medlemsstat skal gøre mindst én tegnebog tilgængelig. Forpligtede forlidende parter, blandt dem banker, transport, energi, sundhed og telekommunikation, skal acceptere den fra december 2027. Vil du acceptere tidligt, skal du registrere dig som forlidende part og understøtte tegnebogens legitimationsformater. Vores EUDI-tegnebogsguide forklarer, hvad det indebærer.

Hvad der stadig er i bevægelse

To sager er værd at følge uden at planlægge for meget omkring dem.

Digital Omnibus ville flytte reglerne om cookiesamtykke ind i selve GDPR gennem foreslåede artikler 88a og 88b. Hovedændringerne er accepter eller afvis med ét klik, en regel mod at spørge igen i seks måneder efter et afslag, og juridisk bindende maskinlæsbare samtykkesignaler. Trilogforhandlingerne løb til midten af 2026. Intet er endeligt, og vi ville ikke bygge en samtykkeplatform om i troen på, at teksten går uændret igennem, men retningen er tydelig nok til at påvirke arkitekturen. Vores syn står i cookiesamtykke efter Digital Omnibus.

Digital Fairness Act er stadig på forslagsstadiet, ventet sidst i 2026, og retter sig direkte mod mørke mønstre, personaliserede priser og afhængighedsskabende design. Realistisk gælder den mellem 2028 og 2030. Den betyder noget nu alene, fordi den viser, hvilke grænsefladermønstre der lever på lånt tid.

Betalingslaget, ingen planlagde for

Der er endnu et skifte, som slet ikke er en regulering, men som opfører sig som en, fordi det breder sig så hurtigt gennem europæiske kassesider.

Wero, tegnebogen bygget af European Payments Initiative, gik fra overførsler mellem privatpersoner til e-handel i 2025 og 2026. Den afvikler via SEPA straksbetaling på omkring ti sekunder og omgår kortordningerne helt. Lidl annoncerede understøttelse på lidl.de i juli 2026, med accept i butik og de belgiske og franske webshops senere på året. Decathlon, Rossmann, Hornbach, Eventim og andre er allerede i drift.

Ingen er retligt forpligtet til at acceptere Wero. Men når en discountkæde med Lidls rækkevidde tilføjer en betalingsmetode, følger resten af markedet som regel efter, og integrationen er ikke gratis arbejde: den lander i din kasse, din ordrestatusmaskine, din refusionslogik og din afstemning. Vi beskrev det i Wero-integrationsguiden.

Hvordan du sekvenserer dette uden at miste et kvartal

Instinktet er at åbne et compliancespor og forsøge at lukke alt. Det giver som regel et regneark og meget lidt leveret kode. Hvad der fungerer bedre, efter vores erfaring:

Start ærligt med anvendelsesområdet. De fleste af disse regler har tærskler, undtagelser og definitioner, der materielt ændrer, hvad du skylder. En mikrovirksomhed, der leverer tjenester, falder uden for store dele af tilgængelighedsdirektivet. En virksomhed, der ikke fremstiller produkter med digitale elementer, falder uden for CRA. En halv time med de faktiske anvendelsesområdebestemmelser sparer måneder.

Find overlapningerne og byg én gang. Tilgængelighedsarbejde efter EAA forbedrer også klarhedskravene i AI-forordningens gennemsigtighedsregler. Samtykkeinfrastruktur bygget til GDPR bærer det meste af ændringerne fra Digital Omnibus. En SBOM-pipeline bygget til CRA besvarer en stor del af NIS2's leverandørkædespørgsmål. Behandl dette som fælles platformarbejde, ikke som tolv separate projekter.

Ret først det, der kræver designbeslutninger. Dataadgang som standard, accept af legitimationer, tilgængelighedssemantik og samtykkearkitektur er dyre at eftermontere. Indberetningsflows og dokumentation er det ikke. Sekvenser derefter.

Skriv ned, hvad I besluttede, og hvorfor. De fleste af disse regimer forventer, at I kan forklare jeres ræsonnement, ikke blot vise et grønt flueben. En kort arkitekturbeslutningslog slår en lang policy-PDF.

Hvor vi passer ind

Vi er en softwarevirksomhed, ikke et advokatfirma, og det siger vi ligeud til hver kunde. Vi giver ikke juridiske råd. Det, vi gør, er at tage den fortolkning, jeres jurister er landet på, og gøre den til systemer, der virker: samtykkeplatforme, tilgængelige komponentbiblioteker, dataadgangs-API'er, SBOM-pipelines, tegnebogsintegrationer, betalingsflows og al den kedelige infrastruktur under.

Vores teams arbejder fra Ljubljana og Novi Sad, inde i det regulatoriske miljø, vi beskriver, hvilket betyder, at vi håndterer disse frister på vores egne produkter også.

Prøver du at finde ud af, hvilke af disse der faktisk gælder for dig, eller har du en dato i kalenderen uden en plan bag, så skriv til office@c9group.dev. Du kan også læse mere om, hvordan vi støtter virksomheder, der går ind i Europa, på vores side om markedsindtræden i EU.