La pipeline legislativa digitale dell'UE: cosa arriva dopo le scadenze del 2026

La maggior parte di ciò che si scrive sulla conformità riguarda norme già applicabili. Utile per il prossimo audit, inutile per pianificare: le decisioni costose sono architetturali, e l'architettura si fissa diciotto mesi prima di una scadenza.

Qui trovate l'altra metà del quadro: cosa si sta muovendo dentro la macchina legislativa europea, più o meno quando arriverà e quale parte dovrebbe davvero pesare su ciò che state costruendo adesso.

Un avvertimento in apertura. Le proposte cambiano, alcune muoiono per strada, le date slittano. Niente di quanto segue è un buon motivo per mettersi a sviluppare sulla base di un testo non ancora adottato. È un buon motivo per evitare di costruire qualcosa che una norma chiaramente in arrivo renderà costoso.

Come leggere le fasi

Il diritto europeo attraversa fasi prevedibili, e sapere a che stadio è un dossier vi dice quanto potete fidarvene.

Annunciato nel programma di lavoro. La Commissione ha detto che intende proporre qualcosa. Nessun testo. Indica una direzione, nient'altro.

Proposta pubblicata. Un testo c'è. Cambierà, spesso parecchio, ma impianto e definizioni sono ormai sul tavolo.

Orientamento generale del Consiglio e mandato del Parlamento. Entrambi i colegislatori hanno una posizione. Lo spazio negoziale è finalmente visibile: ciò su cui sono già d'accordo con ogni probabilità sopravvive.

Trilogo. Negoziato a porte chiuse tra Parlamento, Consiglio e Commissione. L'esito di solito si colloca da qualche parte tra i due mandati.

Accordo politico, poi adozione formale, poi entrata in vigore, poi applicazione. L'intervallo tra adozione e applicazione è il momento in cui si lavora davvero, e va di norma dai diciotto mesi ai tre anni.

La regola pratica è semplice: quando entrambi i colegislatori hanno pubblicato il proprio mandato, sui punti in comune si può pianificare senza timori. Prima di quel momento, tutto va preso come indicazione di massima.

Attualmente in negoziato

Il Digital Omnibus

Il più grande pacchetto di semplificazione di questo ciclo, proposto a novembre 2025. Tocca il GDPR, il regolamento sull'IA, il regolamento sui dati, la direttiva ePrivacy e gli obblighi di notifica in materia di cibersicurezza. La parte sul regolamento sull'IA è stata scorporata ed è già legge: regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026.

Per i team di prodotto la parte che pesa di più sono gli articoli 88 bis e 88 ter proposti dalla Commissione: sposterebbero le regole sul consenso ai cookie dalla direttiva ePrivacy dentro il GDPR, allargherebbero i casi in cui il consenso non serve, introdurrebbero un periodo di silenzio di sei mesi dopo un rifiuto e renderebbero giuridicamente vincolanti i segnali di consenso leggibili dalla macchina impostati nel browser.

La parte su GDPR ed ePrivacy non è ancora arrivata al trilogo. Al 10 ottobre 2026 il Consiglio non ha un mandato negoziale (un voto degli ambasciatori UE previsto per il 7 ottobre è stato rinviato, secondo la stampa all'11 ottobre), e le commissioni del Parlamento stanno ancora esaminando oltre 1750 emendamenti al loro progetto di relazione di giugno 2026. Il testo di compromesso del Consiglio lascia le regole sui cookie nella direttiva ePrivacy, elimina gli articoli 88 bis e 88 ter e riduce a quattro mesi l'attesa dopo un rifiuto. Resta comunque il cambiamento a breve termine con più probabilità di modificare il funzionamento pratico del consenso, e la nostra lettura la trovate in consenso ai cookie dopo il Digital Omnibus.

A chi interessa: a chiunque gestisca una piattaforma di consenso, analytics, pubblicità o personalizzazione.

Il pacchetto sull'euro digitale

Posizione del Consiglio a dicembre 2025, mandato della commissione parlamentare approvato con 43 voti contro 14, triloghi aperti a luglio 2026 e tutte e tre le istituzioni che puntano a chiudere entro il 2026. La sperimentazione della BCE parte dal secondo semestre 2027, con obiettivo di prima emissione nel 2029.

Il quadro completo è nella nostra guida all'attuazione dell'euro digitale.

A chi interessa: a banche, prestatori di servizi di pagamento, piattaforme di commercio elettronico, fornitori di software di cassa.

Financial Data Access, noto come FiDA

Il dossier dell'open finance. Porta l'accesso ai dati in stile open banking oltre i conti di pagamento, dentro investimenti, pensioni, assicurazioni e mutui, e crea una nuova categoria regolata: il prestatore di servizi di informazione finanziaria.

Di tutto questo elenco, FiDA è quello che ha avuto il percorso più accidentato. Dopo la metà del 2025 i triloghi hanno fatto pochi progressi visibili, e ad aprile 2026 la Commissione ha inviato al Consiglio un non-paper che propone un ambito più ristretto per rimetterli in moto. L'applicazione sarebbe scaglionata e, realisticamente, non prima della fine del decennio.

A chi interessa: a fintech, insurtech, piattaforme di gestione patrimoniale e a chiunque abbia un prodotto che trarrebbe vantaggio da un accesso autorizzato ai dati finanziari oltre i conti correnti.

Concordato ma non ancora applicabile

PSD3 e il regolamento sui servizi di pagamento

Il 27 novembre 2025 Consiglio e Parlamento hanno raggiunto un accordo politico provvisorio sul quadro dei pagamenti. È la revisione della PSD2: obblighi rafforzati di prevenzione delle frodi, una ripartizione più ampia della responsabilità per alcuni tipi di frode, comprese quelle per impersonificazione, modifiche all'autenticazione forte del cliente, requisiti di prestazione per le interfacce di open banking e la fusione dei regimi di istituto di pagamento e di moneta elettronica.

I testi concordati non sono ancora in Gazzetta ufficiale. Al 10 ottobre 2026 la scheda della procedura del Parlamento li dà in attesa della posizione formale del Consiglio in prima lettura, con il voto finale in plenaria fissato in via indicativa per il 14 dicembre 2026. Trattandosi di un regolamento più una direttiva, una parte si applica direttamente e una parte va recepita. Mettete in conto l'applicazione verso la fine del decennio, non prima.

A chi interessa: a qualsiasi prodotto che disponga pagamenti, detenga fondi dei clienti o consumi API di open banking.

Proposto, posizioni in formazione

Il portafoglio europeo d'impresa

Proposto come corrispettivo aziendale del portafoglio europeo di identità digitale. Se il portafoglio personale custodisce le credenziali di una persona, quello d'impresa custodisce quelle di una società: dati di registrazione, mandati, poteri di rappresentanza, certificati e la possibilità di scambiare documenti firmati oltre confine.

Il Consiglio ha adottato la propria posizione negoziale il 9 giugno 2026 e la commissione ITRE del Parlamento ha approvato la sua relazione e un mandato a negoziare il 10 settembre 2026, quindi i triloghi possono partire. L'ambizione è arrivare a un accordo politico entro fine 2026. La Commissione aveva proposto che gli enti pubblici accettassero i portafogli d'impresa entro 24 mesi dall'entrata in vigore; il testo del Consiglio sostituisce quel termine con una scadenza più lontana: due anni dopo l'applicazione degli ultimi atti di esecuzione.

Il dettaglio è nella nostra guida al portafoglio europeo d'impresa.

A chi interessa: a chiunque costruisca onboarding B2B, approvvigionamento, verifica dei fornitori, fatturazione elettronica o processi aziendali regolamentati.

Il Cloud and AI Development Act

Una delle norme di punta dell'agenda di sovranità tecnologica della Commissione, proposta il 3 giugno 2026 come COM(2026) 502. Copre ricerca e innovazione, autorizzazioni più rapide per i data center (l'obiettivo dichiarato è almeno triplicare la capacità dei data center nell'UE entro il 2030) e un quadro UE unico con quattro livelli di garanzia di sovranità per i servizi cloud. Gli acquirenti pubblici dovrebbero acquistare almeno il livello 1, e i livelli da 2 a 4 per le attività rilevanti per l'ordine pubblico.

Il sottotesto è la dipendenza dai fornitori cloud non europei, e il meccanismo con più probabilità di mordere davvero sono gli appalti pubblici, non la regolazione diretta degli acquirenti privati.

Il dettaglio è nella nostra guida al Cloud and AI Development Act.

A chi interessa: ai fornitori cloud, a chiunque venda software ad acquirenti pubblici europei e a chiunque abbia un'architettura costruita su un unico hyperscaler.

Il Digital Networks Act

Presentato a gennaio 2026 dopo vari rinvii. Riscrive la governance delle telecomunicazioni: armonizzazione dello spettro, mercato unico delle comunicazioni elettroniche, standard di sicurezza delle reti e l'eterna disputa sull'opportunità che i grandi generatori di traffico contribuiscano ai costi di rete.

A chi interessa: agli operatori di telecomunicazioni, ai fornitori di CDN e connettività e a qualsiasi servizio i cui conti dipendano da un transito a basso costo.

Il Digital Fairness Act

Atteso per il quarto trimestre 2026, quindi per un bel po' resterà una proposta e non una legge. Punta dritto ai dark pattern, al design che crea dipendenza, al marketing degli influencer e alle pratiche di personalizzazione che sfruttano la vulnerabilità del consumatore, prezzi personalizzati compresi.

Questo merita attenzione molto prima di diventare applicabile, perché prende di mira schemi di interfaccia su cui parecchi prodotti oggi contano per convertire. Il dettaglio è nella nostra guida al Digital Fairness Act.

A chi interessa: a tutti i prodotti rivolti al consumatore, in particolare abbonamenti, videogiochi, marketplace e social.

Revisione del Chips Act

La Commissione ha proposto un Chips Act 2.0 il 3 giugno 2026 (COM(2026) 504), che abrogherebbe e sostituirebbe il Chips Act del 2023. Il primo Chips Act è stato ampiamente giudicato troppo debole rispetto alle sue ambizioni. Il nuovo testo aggiunge strumenti di crisi, tra cui ordini prioritari per i settori critici, accanto al sostegno agli impianti di produzione e alla progettazione. Il lato finanziamento lo trovate nella nostra guida ai finanziamenti del Chips Act.

A chi interessa: alle aziende di semiconduttori e hardware e a chiunque segua i soldi della politica industriale europea.

Riforma degli appalti pubblici

La Commissione ha proposto un Public Procurement Act il 9 settembre 2026 (COM(2026) 590). Sostituirebbe le tre direttive appalti del 2014 con un unico regolamento e introdurrebbe un quadro di preferenza europea che consente agli acquirenti pubblici di limitare la partecipazione o favorire l'origine UE nei settori strategici. Se vendete ad acquirenti pubblici europei, le regole di appalto sono il canale attraverso cui vi arriva addosso una quota sorprendente di politica tecnologica.

A chi interessa: a chiunque abbia ricavi dal settore pubblico in Europa.

Annunciato, ancora senza forma

Diverse iniziative sono state annunciate senza che ne esista un testo: un Quantum Act (previsto per il secondo trimestre 2026, ancora non proposto al 10 ottobre 2026 e, secondo la stampa, a rischio di slittare al 2027), altri lavori sull'IA applicata alla scienza e la prosecuzione dell'avvio dello spazio europeo dei dati sanitari. C'è poi il regolamento di lungo corso sugli abusi sessuali sui minori, quello che tutti chiamano chat control, che si è arenato più volte sull'analisi lato client e resta irrisolto.

Tenetele d'occhio e basta. Sapere che esistono ha un valore. Progettarci attorno no.

Cosa è andato nella direzione opposta

Conviene sapere anche cosa è stato ritirato o messo in secondo piano, perché su questo buona parte dei commenti in circolazione è rimasta indietro.

La direttiva sulla responsabilità da IA è stata ritirata. Il regolamento ePrivacy, che per anni non è andato da nessuna parte, è stato abbandonato e la sua materia passa ora dal Digital Omnibus. La direttiva sulle asserzioni ambientali ha avuto un percorso in salita e la forma definitiva non è ancora chiara, mentre la direttiva sulla responsabilizzazione dei consumatori si applica comunque dal 27 settembre 2026.

La semplificazione è ormai un tema politico dichiarato. Non vuol dire meno regole in totale, ma vuol dire che alcuni dossier vengono accorpati invece che aggiunti.

Come usare tutto questo senza sprecare tempo

Davanti a un elenco del genere la tentazione è costruire un cruscotto e assegnare un responsabile a ogni riga. Il risultato è un foglio di calcolo e nient'altro.

Quello che funziona davvero è un altro:

Separate ciò che impone una scelta progettuale dal resto. Architettura del consenso, gestione di identità e credenziali, astrazione del metodo di pagamento e interfacce di accesso ai dati costano caro se le si aggiunge dopo. Processi di notifica e documentazione no. Solo la prima categoria giustifica di muoversi prima dell'adozione.

Cercate il terreno comune. Un'infrastruttura di consenso fatta bene regge le novità del Digital Omnibus. La verifica delle credenziali costruita per il portafoglio di identità regge in buona parte anche quello d'impresa. L'astrazione del metodo di pagamento regge allo stesso modo pagamenti istantanei, Wero ed euro digitale. Tre dossier, un solo lavoro di piattaforma.

Guardate i mandati, non le proposte. Quando Consiglio e Parlamento hanno pubblicato entrambi una posizione, la sovrapposizione è terreno sicuro. È lì che si comincia a costruire, non il giorno in cui esce una proposta.

Mettete per iscritto cosa avete deciso e quando. La maggior parte di questi regimi si aspetta che sappiate spiegare il vostro ragionamento. Una breve nota di decisione architetturale, con la data, vale più di un documento di policy scritto a cose fatte.

Dove ci collochiamo

Costruiamo e manteniamo software per aziende che operano in Europa, il che significa sempre più spesso costruire sistemi in grado di assorbire i cambiamenti normativi senza riscritture. Il grosso del lavoro non ha nulla di entusiasmante: astrarre nei punti giusti, tenere lo stato esplicito e mettere in configurazione i numeri che il legislatore ha lasciato apposta regolabili.

Se volete una lettura di quali di questi dossier tocchino davvero un prodotto specifico, scrivete a office@c9group.dev. Le norme già applicabili sono mappate nella nostra guida alla conformità digitale UE 2026, e trovate altro sul nostro lavoro europeo alla pagina dedicata all'ingresso nel mercato UE.

Siamo ingegneri, non avvocati, e questa è una mappa per pianificare, non una consulenza legale. Tutto quello che avete letto qui sopra resta un bersaglio mobile finché non finisce in Gazzetta ufficiale.