La agenda legislativa digital de la UE: qué llega después de los plazos de 2026
Casi todo lo que se publica sobre cumplimiento habla de normas que ya se aplican. Eso vale para la próxima auditoría y no vale para planificar, porque las decisiones caras son las de arquitectura y la arquitectura se fija dieciocho meses antes de un plazo.
Esta es la otra mitad de la foto: qué se mueve ahora mismo por la maquinaria legislativa europea, cuándo llega más o menos y qué parte de todo eso debería influir de verdad en lo que desarrolla hoy.
Un aviso antes de empezar. Las propuestas cambian, algunas mueren y las fechas se corren. Nada de lo que sigue justifica desarrollar sobre un texto que todavía no está adoptado. Lo que sí justifica es no meterse en algo que una norma claramente en camino va a encarecer.
Cómo leer las fases
El derecho europeo avanza por fases previsibles, y la fase en la que está un expediente indica cuánto puede fiarse de él.
Anunciado en el programa de trabajo. La Comisión ha dicho que piensa proponer algo. No hay texto. Sirve para saber por dónde van los tiros y poco más.
Propuesta publicada. Ya hay texto. Cambiará, a menudo bastante, pero la forma y las definiciones ya se ven.
Orientación general del Consejo y mandato del Parlamento. Los dos colegisladores tienen posición. Ya se ve el margen de negociación: es casi seguro que lo que coincide en ambas sobrevive.
Diálogo tripartito. Negociación a puerta cerrada entre Parlamento, Consejo y Comisión. El resultado suele quedar en algún punto entre los dos mandatos.
Acuerdo político, adopción formal, entrada en vigor y aplicación. El hueco entre adopción y aplicación es donde de verdad se trabaja, y suele ir de dieciocho meses a tres años.
La regla práctica: cuando los dos colegisladores han publicado ya sus mandatos, se puede planificar con tranquilidad sobre lo que coincide en ambos. Antes de eso, todo es orientativo.
Ahora en diálogo tripartito
El Digital Omnibus
El mayor paquete de simplificación de este ciclo, propuesto en noviembre de 2025. Toca el RGPD, el reglamento de IA, el reglamento de datos, la privacidad electrónica y la notificación de incidentes de ciberseguridad.
A los equipos de producto lo que más les importa son los artículos 88 bis y 88 ter que propone: sacarían las normas de consentimiento de cookies de la directiva de privacidad electrónica para llevarlas al propio RGPD, ampliarían las exenciones sin consentimiento, introducirían un periodo de silencio de seis meses tras una negativa y darían valor jurídico vinculante a las señales de consentimiento legibles por máquina que emite el navegador.
Los diálogos siguieron hasta mediados de 2026. Es el cambio a corto plazo con más probabilidades de alterar cómo funciona el consentimiento en la práctica, y contamos cómo lo leemos en el consentimiento de cookies tras el Digital Omnibus.
A quién le afecta: a quien opere una plataforma de consentimiento, analítica, publicidad o personalización.
El paquete del euro digital
Posición del Consejo en diciembre de 2025, mandato de la comisión parlamentaria aprobado por 43 votos contra 14, diálogos abiertos en julio de 2026, y las tres instituciones apuntan a cerrarlo dentro de 2026. El piloto del BCE arranca en el segundo semestre de 2027 con el objetivo de una primera emisión en 2029.
Todo el detalle está en nuestra guía de implementación del euro digital.
A quién le afecta: a bancos, proveedores de servicios de pago, plataformas de comercio electrónico y fabricantes de software de punto de venta.
Financial Data Access, más conocido como FiDA
El expediente de las finanzas abiertas. Lleva el acceso a datos al estilo de la banca abierta más allá de las cuentas de pago, hasta inversiones, pensiones, seguros e hipotecas, y crea una nueva categoría regulada: el proveedor de servicios de información financiera.
FiDA es el que peor lo ha pasado de toda esta lista. Las negociaciones tripartitas se estancaron a principios de 2026 y después se reanudaron. Lo realista es una aplicación escalonada entre 2027 y 2030.
A quién le afecta: a la fintech, la insurtech, las plataformas de gestión patrimonial y a cualquiera cuyo producto ganaría con un acceso autorizado a datos financieros más allá de la cuenta corriente.
Acordado pero todavía sin aplicarse
PSD3 y el reglamento de servicios de pago
Consejo y Parlamento cerraron un acuerdo político provisional sobre el marco de pagos el 27 de noviembre de 2025. Es la reforma de la PSD2: obligaciones reforzadas de prevención del fraude, un reparto más amplio de la responsabilidad para ciertos tipos de fraude, incluida la suplantación, cambios en la autenticación reforzada del cliente, requisitos de rendimiento para las interfaces de banca abierta y la fusión de los regímenes de entidad de pago y de dinero electrónico.
Al tratarse de un reglamento y una directiva, una parte se aplica directamente y otra hay que transponerla. Cuente con que la aplicación llegue más bien hacia el final de la década.
A quién le afecta: a cualquier producto que inicie pagos, custodie fondos de clientes o consuma interfaces de banca abierta.
Propuesto, con las posiciones tomando forma
La cartera empresarial europea
Se ha propuesto como equivalente societario de la cartera europea de identidad digital. Si la cartera personal guarda las credenciales de una persona, la empresarial guarda las de una sociedad: datos registrales, mandatos, poderes de representación, certificados y la posibilidad de intercambiar documentos firmados de un país a otro.
El Consejo adoptó su posición negociadora el 9 de junio de 2026 y la intención es cerrar un acuerdo político antes de que acabe 2026. Los Estados miembros tendrían que aceptar carteras empresariales en los trámites administrativos dentro de los 24 meses siguientes a la entrada en vigor, con un año más para la funcionalidad más compleja.
Lo detallamos en nuestra guía de la cartera empresarial europea.
A quién le afecta: a quien desarrolle alta de clientes B2B, compras, verificación de proveedores, facturación electrónica o procesos de negocio regulados.
El Cloud and AI Development Act
Una de las normas insignia de la agenda de soberanía tecnológica de la Comisión, prevista para la primera parte de 2026. Los objetivos declarados son reforzar la capacidad europea de desarrollar, desplegar y escalar nube e IA, cerrar lagunas regulatorias, impulsar la interoperabilidad y establecer una política de nube común a toda la UE para las administraciones públicas y la contratación pública.
El trasfondo es la dependencia de proveedores de nube no europeos, y el mecanismo que con más probabilidad va a apretar de verdad es la contratación pública, no la regulación directa de los compradores privados.
Lo detallamos en nuestra guía del Cloud and AI Development Act.
A quién le afecta: a los proveedores de nube, a quien venda software a compradores públicos europeos y a quien tenga una arquitectura montada sobre un único hiperescalador.
El Digital Networks Act
Se presentó en enero de 2026 después de varios aplazamientos. Reescribe la gobernanza de las telecomunicaciones: armonización del espectro, mercado único de las comunicaciones electrónicas, normas de seguridad de red y el viejo debate sobre si los grandes generadores de tráfico deben contribuir a los costes de red.
A quién le afecta: a operadores de telecomunicaciones, proveedores de CDN y conectividad y a cualquier servicio cuyas cuentas dependan de que el tránsito sea barato.
El Digital Fairness Act
Previsto para el cuarto trimestre de 2026, o sea, una propuesta y no una ley durante bastante tiempo. Va directo a los patrones oscuros, el diseño adictivo, el marketing de influencers y las prácticas de personalización que se aprovechan de la vulnerabilidad del consumidor, incluidos los precios personalizados.
A este conviene prestarle atención mucho antes de que se aplique, porque señala patrones de interfaz de los que hoy dependen muchos productos para convertir. Lo detallamos en nuestra guía del Digital Fairness Act.
A quién le afecta: a los productos de consumo de cualquier tipo, en especial suscripción, videojuegos, marketplaces y redes sociales.
Revisión del Chips Act
En el programa de trabajo de 2026 se incluyó una iniciativa legislativa para revisar el reglamento europeo de semiconductores. Hubo bastante consenso en que el primer Chips Act se quedó corto para lo que prometía, y se espera que la revisión corrija eso. La parte de financiación la tratamos en nuestra guía de financiación del Chips Act.
A quién le afecta: a las empresas de semiconductores y hardware y a quien siga el dinero de la política industrial europea.
Reforma de la contratación pública
En el programa de trabajo de 2026 se incluyó también un Public Procurement Act con una dimensión explícita de preferencia europea para los sectores estratégicos. Si vende a compradores públicos europeos, conviene saber que las normas de contratación son la vía por la que le llega buena parte de la política tecnológica, más de la que uno imagina.
A quién le afecta: a quien tenga ingresos del sector público en Europa.
Anunciado, todavía sin forma
Hay varias iniciativas anunciadas sin texto: un Quantum Act, un Space Act, más trabajo sobre IA en la ciencia y la continuación del despliegue del espacio europeo de datos sanitarios. A eso se suma el eterno reglamento sobre abusos sexuales a menores, el que todo el mundo llama control de chats, que lleva encallado años por el escaneo en el propio dispositivo y sigue sin resolverse.
Téngalos en el radar y poco más. Saber que existen tiene su valor; diseñar pensando en ellos, no.
Lo que ha ido en dirección contraria
Conviene saber también qué se ha retirado o se ha dejado aparcado, porque buena parte de lo que se publica no está al día.
La directiva de responsabilidad por IA se retiró. El reglamento de privacidad electrónica, que se pasó años sin moverse, se abandonó y su contenido se está resolviendo por la vía del Digital Omnibus. La directiva de alegaciones ecológicas ha tenido un camino complicado y su forma final no está cerrada, aunque la directiva de empoderamiento del consumidor se aplica igualmente desde septiembre de 2026.
La simplificación es hoy una bandera política explícita. Eso no significa menos regulación en total, pero sí que algunos expedientes se están juntando en lugar de sumarse.
Cómo usar esto sin perder el tiempo
La tentación ante una lista así es montar un cuadro de seguimiento y asignar un responsable a cada fila. De ahí no sale más que una hoja de cálculo.
Lo que funciona de verdad:
Ordénelos por si obligan o no a tomar una decisión de diseño. La arquitectura de consentimiento, el manejo de identidad y credenciales, la abstracción del método de pago y las interfaces de acceso a datos salen caras si hay que meterlas después. Los procesos de notificación y la documentación, no. Solo la primera categoría justifica actuar antes de la adopción.
Busque el terreno común. Una infraestructura de consentimiento bien hecha le sirve para los cambios del Digital Omnibus. La verificación de credenciales hecha para la cartera de identidad le sirve casi entera para la empresarial. La abstracción del método de pago le sirve igual para los pagos inmediatos, para Wero y para el euro digital. Tres expedientes, un solo trabajo de plataforma.
Vigile los mandatos, no las propuestas. Cuando Consejo y Parlamento publican sus posiciones, lo que se solapa es terreno seguro. Ese es el momento de ponerse a desarrollar, no el día en que aparece una propuesta.
Deje por escrito qué decidió y cuándo. Casi todos estos regímenes esperan que sepa explicar su razonamiento. Un registro breve de decisión de arquitectura con su fecha vale más que un documento de política escrito a posteriori.
Dónde encajamos
Desarrollamos y mantenemos software para empresas que operan en Europa, y eso significa cada vez más hacer sistemas capaces de absorber un cambio normativo sin reescribirse. El trabajo es en su mayor parte poco lucido: abstraer por las costuras adecuadas, dejar el estado explícito y llevar a configuración aquello donde el legislador ha dejado una cifra ajustable a propósito.
Si quiere una lectura de cuáles de estos expedientes tocan de verdad un producto concreto, escriba a office@c9group.dev. Las normas que ya se aplican las recogemos en la guía de cumplimiento digital de la UE 2026, y tiene más sobre nuestro trabajo europeo en la página de entrada al mercado de la UE.
Somos ingenieros, no abogados, y esto es un mapa para planificar, no asesoramiento jurídico. Todo lo anterior se sigue moviendo hasta que aparece en el Diario Oficial.