ELi digitaalne vastavus 2026. aastal: reeglid, mis ulatuvad nüüd teie koodibaasi

Umbes seitse aastat oli isikuandmete kaitse üldmäärus (GDPR) ainus Euroopa õigusakt, mida iga tootemeeskond nime pidi teadis. Kui teie veebisait puutus kokku Euroopa kasutajatega, õppisite selgeks õiguslikud alused, ehitasite küpsiste nõusolekuriba, allkirjastasite andmetöötluslepingud ja liikusite edasi.

See ajastu on läbi. Aastatel 2024 kuni 2028 on Euroopa Liit välja andmas terve kihi digitaalseid õigusakte, millest igaüks on eraldi sama nõudlik, kui oli isikuandmete kaitse üldmäärus, ja mis koos tungivad palju sügavamale. Erinevus on selles, et uued reeglid ei piirdu privaatsuspoliitikaga. Need ulatuvad teie ostuvoogu, komponenditeeki, intsidentidele reageerimise protsessi, tarkvara koosluse loendisse ja tooteandmete mudelisse.

Ehitame ja hooldame tarkvara Euroopas tegutsevatele ettevõtetele ning kulutame suure osa oma nädalast nende kohustuste tõlkimisele piletiteks. See on meie töökaart sellest, mis kehtib praegu, mis tuleb järgmisena ja mida see kõik tähendab inimestele, kes koodi kirjutavad.

Miks see laine tundub teistsugune

Isikuandmete kaitse üldmäärus oli enamjaolt horisontaalne. Üks määrus, üks põhimõtete kogum, mida kohaldatakse kõigile, kes isikuandmeid töötlevad. Aastate 2024 kuni 2028 laine on vertikaalne ja kattuv. Üksainus keskmise suurusega e-kaubandusettevõte, mis müüb Saksamaal ja Prantsusmaal nutikodu seadmeid, võib nüüd korraga kuuluda vähemalt kaheksa eraldi õigusakti kohaldamisalasse ja igal neist on oma järelevalveasutus, oma tähtaeg ja oma määratlus selle kohta, kes on vastutav.

Sellest tuleneb kolm praktilist tagajärge.

Esiteks ei ole vastavus enam miski, mida saab enne käivitamist külge poltida. Mitu neist reeglitest nõuab disainiotsuseid ja teisel kuul halvasti tehtud disainiotsus maksab kahekümnendal kuul ümberehitusega.

Teiseks on tehnilised artefaktid olulisemad kui paberid. Järelevalveasutused küsivad üha sagedamini masinloetavaid tõendeid: tarkvara koosluse loendit (SBOM), vastavushindamist, ligipääsetavusteatist, nõusoleku kirjet, intsidendi ajajoont. Kedagi ei avalda muljet poliitikadokument, mis kirjeldab kontrollimeedet, mida süsteemis pole.

Kolmandaks on tähtajad astmelised ja mõned neist on nihkunud. Pärast 2025. aasta novembris esitatud Digital Omnibuse paketti lükati osa tehisintellekti määrusest edasi, samal ajal kui teised osad jäid täpselt sinna, kus nad olid. Meeskonnad, kes lugesid ühe pealkirja ja jäid pidama, planeerivad nüüd valede kuupäevade järgi.

Mis kehtib praegu

Isikuandmete kaitse üldmäärus on endiselt alus

Miski uues laines ei asenda isikuandmete kaitse üldmäärust. See jääb põhikihiks ja suurimad trahvid tulevad endiselt sealt. Kui teie andmemudel, säilitustööd ja andmesubjekti päringute protsess on nõrgad, pärib kõik selle peale ehitatu sama nõrkuse. Eraldi inseneri vaatenurgast ülevaate kirjutasime artiklis meie praktiline isikuandmete kaitse üldmääruse juhend veebisaitidele.

Euroopa ligipääsetavuse akt

Direktiivi 2019/882 hakati kohaldama 28. juunil 2025 ja järelevalve hoogustus 2026. aasta jooksul. See hõlmab tarbijatele suunatud e-kaubandust, pangandust, transpordipiletite müüki, telekommunikatsiooni, e-raamatuid ja muud. Tehniline võrdlusalus on EN 301 549. 2026. aasta septembris avaldatud versioon 4.1.1 viib selle üle WCAG 2.2-le, kuid kuni komisjon ei ole sellele Euroopa Liidu Teatajas viidanud, jääb vastavuseelduse aluseks v3.2.1, mis vastab WCAG 2.1 AA tasemele.

See üllatab inimesi, sest tegu ei ole dokumenteerimisharjutusega. See nõuab päris muudatusi märgenduses, fookuse haldamises, värvikontrastis, vormivigade käsitluses ja klaviatuuriga navigeerimises. Prantsuse kohus on juba kohustanud Carrefouri saavutama vastavuse päevatrahvi ähvardusel. Üksikasjad on meie Euroopa ligipääsetavuse akti juhendis.

Andmemäärus

Määrust 2023/2854 hakati kohaldama 12. septembril 2025. See annab kasutajatele õiguse andmetele, mida nende ühendatud tooted toodavad, ja sunnib pilveteenuse pakkujaid muutma teenusepakkuja vahetamise reaalseks, mitte teoreetiliseks. Alates 12. septembrist 2026 tuleb turule uutena lastud ühendatud tooted ja nendega seotud teenused projekteerida nii, et andmed on vaikimisi kättesaadavad, ja see on pigem arhitektuurinõue kui õiguslik nõue. Vaadake meie andmemääruse ülevaadet.

NIS2

Liikmesriigid on NIS2 direktiivi üle võtnud väga erineva kiirusega. Saksamaa avas oma registreerimisportaali 6. jaanuaril 2026, Holland jõustas oma seaduse 15. augustil 2026 ja teised riigid alles järele jõuavad. Kui kuulute kohaldamisalasse, peate intsidentidest teatama 24 tunni jooksul ja oma klientidele tõendama, et juhite tarneahela riske. Meie NIS2 praktiline juhend käsitleb praktilist poolt.

Makse saaja kontroll

Alates 9. oktoobrist 2025 peavad euroala makseteenuse pakkujad pakkuma tasuta kontrolli, kas makse saaja nimi vastab IBAN-ile, enne kui ülekanne kinnitatakse. Kõigile, kes ehitavad makse- või väljamaksevooge, lisas see uue kinnitamiseelse sammu ja uue komplekti „peaaegu vastab“ olekuid, mida kasutajaliideses käsitleda. Kirjutasime sellest artiklis välkmaksed ja makse saaja kontroll.

2026. aasta verstapostid

2. august 2026: tehisintellekti määruse läbipaistvusnõuded

Artikli 50 kohustused kehtivad nüüd. Kui teie toode suhtleb kasutajatega vestlusroboti kaudu, peate neile ütlema, et nad räägivad masinaga. Kui see loob sünteetilist heli, pilte, videot või teksti, tuleb väljund märgistada masinloetaval viisil. Järgmine osa, sealhulgas vesimärgistamise üksikasjad ja alastitööriistade keeld, järgneb 2. detsembril 2026.

Raskemad suure riskiga süsteemide kohustused nihkusid. III lisas loetletud iseseisvatel süsteemidel on nüüd aega 2. detsembrini 2027 ja reguleeritud toodetesse integreeritud tehisintellektil 2. augustini 2028. See on tõeline hingetõmbeaeg, kuid ainult suure riski tasemele. Täielik ülevaade on meie artiklis tehisintellekti määruse läbipaistvusnõuetest.

11. september 2026: küberkerksuse määruse teavitamiskohustus

Alates 11. septembrist 2026 peavad digitaalsete elementidega toodete tootjad teatama aktiivselt ära kasutatud haavatavustest ja tõsistest intsidentidest ühe ELi teavitusplatvormi kaudu. Varajane hoiatus 24 tunni jooksul, täielik teade 72 tunni jooksul, lõpparuanne 14 päeva jooksul. 24 tunni tähtajast ei saa kinni pidada, kui te ei tea, mis teie toote sees on, ja seepärast ehitavad meeskonnad SBOM-i torustikke aasta enne ametlikku SBOM-i kohustust. Vaadake küberkerksuse määruse juhendit.

12. september 2026: andmemääruse disainikohustused

Juurdepääsu tagava disaini nõue kehtib nüüd uutena turule lastud toodetele.

27. september 2026: tarbijate mõjuvõimu suurendamise direktiiv

Alates 27. septembrist 2026 on üldised keskkonnaväited kaotanud õigusliku katte, jätkusuutlikkuse märgised vajavad tõendamist ning ostuvoos peab olema ühtlustatud teave ja märgis kaubandusliku garantii kohta. See on sisu ja mallide muudatus tootelehtedel, kategoorialehtedel ja kassas. Käsitletud artiklis rohelised väited ja tooteandmete vastavus.

24. detsember 2026: Euroopa digitaalse identiteedi rahakott

Iga liikmesriik peab tegema kättesaadavaks vähemalt ühe rahakoti. Kohustatud usaldavad osapooled, sealhulgas pangad, transport, energeetika, tervishoid ja telekommunikatsioon, peavad seda aktsepteerima alates 2027. aasta detsembrist. Kui soovite olla varajane aktsepteerija, peate end registreerima usaldava osapoolena ja toetama rahakoti tõendivorminguid. Meie EUDI rahakoti liidestamise juhend selgitab, mida see hõlmab.

Mis on veel liikumises

Kaht toimikut tasub jälgida, ilma et nende ümber liiga palju planeeriks.

Digital Omnibus (digiomnibuss) tooks komisjoni ettepanekus küpsiste nõusoleku reeglid isikuandmete kaitse üldmääruse enda alla, kavandatud artiklite 88a ja 88b kaudu. Peamised muudatused on ühe klõpsuga nõustumine või keeldumine, reegel, mis keelab keeldunud kasutajatelt kuue kuu jooksul uuesti küsida, ning õiguslikult siduvad masinloetavad nõusolekusignaalid. Nõukogu 2. oktoobri 2026 kompromisstekst läheb sellest lahku: see jätab küpsiste reeglid e-privaatsuse direktiivi, loobub siduvatest brauserisignaalidest ja lühendab ooteaega neljale kuule. 10. oktoobri 2026 seisuga ei olnud nõukogu oma volitusi vastu võtnud, parlamendil polnud seisukohta ja kolmepoolsed läbirääkimised polnud alanud. Miski ei ole lõplik ja me ei ehitaks nõusolekuplatvormi ümber eeldusel, et ettepanek läheb läbi muutmata kujul, kuid suund on piisavalt selge, et mõjutada seda, kuidas sellise platvormi arhitektuuri kavandate. Meie vaadet saate lugeda artiklist küpsiste nõusolek pärast Digital Omnibust.

Digiõigluse akt (Digital Fairness Act) on alles ettepaneku etapis, seda oodatakse 2026. aasta lõpus ja see on suunatud otse pimemustritele, isikupärastatud hinnastamisele ja sõltuvust tekitavale disainile. Realistlikult hakkab see kehtima kuskil 2028. ja 2030. aasta vahel. Praegu on see oluline ainult seetõttu, et see ütleb teile, millised liidesemustrid elavad laenatud ajast.

Maksekiht, mida keegi ei planeerinud

On veel üks muutus, mis ei ole üldse õigusakt, kuid käitub nagu õigusakt, sest levib Euroopa kassalehtedel nii kiiresti.

Wero, European Payments Initiative'i loodud rahakott, liikus aastatel 2025 ja 2026 isikutevahelistelt ülekannetelt e-kaubandusse. Selle arveldus käib SEPA välkmaksena umbes kümne sekundiga ja kaardiskeemidest minnakse täielikult mööda. Lidl teatas lidl.de toetusest 2026. aasta juulis ning kaupluste aktsepteerimine ja Belgia ja Prantsusmaa poed järgnevad hiljem samal aastal. Decathlon, Rossmann, Hornbach, Eventim ja teised juba kasutavad seda.

Keegi ei ole seadusega kohustatud Werot aktsepteerima. Kuid kui Lidli haardega odavkett lisab makseviisi, kipub ülejäänud turg järgnema ja liidestus ei ole tasuta töö: see maandub teie kassas, tellimuse olekumasinas, tagasimaksete loogikas ja kontrollis. Kirjutasime sellest Wero liidestamise juhendis.

Kuidas seda järjestada ilma kvartalit kaotamata

Esimene tung on avada vastavuse töövoog ja püüda kõik korraga ära lõpetada. Tavaliselt sünnib sellest tabel ja väga vähe välja antud koodi. Meie kogemuse järgi töötab paremini järgmine.

Alustage kohaldamisalast ja olge aus. Enamikul neist reeglitest on piirmäärad, erandid ja määratlused, mis muudavad teie kohustusi oluliselt. Teenuseid osutav mikroettevõte jääb suures osas ligipääsetavuse akti kohaldamisalast välja. Ettevõte, mis ei tooda digitaalsete elementidega tooteid, jääb küberkerksuse määrusest välja. Pooltund kohaldamisala käsitlevate artiklitega säästab kuid.

Leidke kattuvused ja ehitage üks kord. Euroopa ligipääsetavuse akti alusel tehtav ligipääsetavustöö parandab ka tehisintellekti määruse läbipaistvusreeglite selgusnõuete täitmist. Isikuandmete kaitse üldmääruse jaoks ehitatud nõusolekutaristu kannab suurema osa Digital Omnibuse muudatuste koormast. Küberkerksuse määruse jaoks ehitatud SBOM-i torustik vastab suurele osale NIS2 tarneahela küsimustest. Käsitlege neid ühise platvormitööna, mitte kaheteistkümne eraldi projektina.

Lahendage esmalt asjad, mis vajavad disainiotsuseid. Vaikimisi andmetele juurdepääs, tõendite aktsepteerimine, ligipääsetavuse semantika ja nõusoleku arhitektuur on tagantjärele kallid lisada. Teavitamise töövood ja dokumentatsioon ei ole. Järjestage vastavalt.

Pange kirja, mida otsustasite ja miks. Enamik neist režiimidest eeldab, et suudate oma arutluskäiku selgitada, mitte ainult rohelist linnukest näidata. Lühike arhitektuuriotsuse kirje on parem kui pikk poliitika-PDF.

Kus meie sobime

Oleme tarkvaraettevõte, mitte advokaadibüroo, ja ütleme seda igale kliendile otse. Me ei anna õiguslikke arvamusi. Me võtame tõlgenduse, milleni teie õigusmeeskond on jõudnud, ja muudame selle töötavateks süsteemideks: nõusolekuplatvormid, ligipääsetavad komponenditeegid, andmetele juurdepääsu API-d, SBOM-i torustikud, rahakottide liidestused, maksevood ja kogu nende all olev igav taristu.

Meie meeskonnad töötavad Ljubljanas ja Novi Sadis, keset seda õiguskeskkonda, mida kirjeldame, mis tähendab, et tegeleme nende tähtaegadega ka oma toodete puhul.

Kui püüate välja selgitada, millised neist teile tegelikult kehtivad, või kui kalendris on kuupäev, kuid selle taga pole plaani, võtke ühendust aadressil office@c9group.dev. Rohkem selle kohta, kuidas toetame Euroopasse sisenevaid või seal kasvavaid ettevõtteid, saate lugeda meie Euroopa turule sisenemise lehelt.