ES skaitmeninės atitikties reikalavimai 2026 m.: taisyklės, kurios dabar pasiekia jūsų kodą

Maždaug septynerius metus BDAR (GDPR) buvo vienintelis Europos reglamentas, kurį kiekviena produkto komanda žinojo pavadinimu. Jei turėjote svetainę, kuria naudojasi Europos naudotojai, išsiaiškinote teisinius pagrindus, sukūrėte slapukų juostą, pasirašėte duomenų tvarkymo sutartis ir judėjote toliau.

Tas laikotarpis baigėsi. Nuo 2024 iki 2028 m. Europos Sąjunga priima vieną skaitmeninį reglamentą po kito, ir kiekvienas jų atskirai yra toks pat reiklus, koks buvo BDAR, o kartu jie kur kas labiau įsiskverbia į veiklą. Skirtumas tas, kad naujosios taisyklės nesibaigia ties privatumo politika. Jos pasiekia jūsų atsiskaitymo procesą, komponentų biblioteką, incidentų valdymo procesą, programinės įrangos komponentų sąrašą (SBOM) ir produktų duomenų modelį.

Kuriame ir prižiūrime programinę įrangą Europoje veikiančioms įmonėms, ir nemažą savaitės dalį verčiame šias prievoles į užduotis. Tai mūsų darbinis žemėlapis: kas taikoma dabar, kas laukia toliau ir ką visa tai iš tikrųjų reiškia kodą rašantiems žmonėms.

Kodėl ši banga kitokia

BDAR iš esmės buvo horizontalus. Vienas reglamentas, vienas principų rinkinys, taikomas visiems, kurie tvarko asmens duomenis. Laikotarpio nuo 2024 iki 2028 m. banga yra vertikali ir persidengianti. Viena vidutinio dydžio e. prekybos įmonė, parduodanti prijungtus namų įrenginius Vokietijoje ir Prancūzijoje, dabar gali vienu metu patekti į bent aštuonių atskirų teisės aktų taikymo sritį, kurių kiekvienas turi savo priežiūros instituciją, savo terminą ir savo apibrėžimą, kas laikomas atsakingu.

Iš to išplaukia trys praktinės pasekmės.

Pirma, atitikties nebegalima prisukti prieš pat paleidimą. Kelioms iš šių taisyklių reikia projektavimo sprendimų, o antrą mėnesį blogai priimtas projektavimo sprendimas dvidešimtą mėnesį kainuoja perdarymą.

Antra, techniniai artefaktai svarbesni už dokumentus. Priežiūros institucijos vis dažniau prašo mašininiu būdu skaitomų įrodymų: programinės įrangos komponentų sąrašo, atitikties vertinimo, prieinamumo pareiškimo, sutikimo įrašo, incidento eigos. Niekam nedaro įspūdžio politikos dokumentas, aprašantis kontrolės priemonę, kurios sistemoje nėra.

Trečia, terminai išdėstyti laike, o kai kurie jų pasislinko. Po 2025 m. lapkritį pasiūlyto skaitmeninio omnibuso paketo dalis DI akto nuostatų buvo atidėta, o kitos liko lygiai ten, kur buvo. Komandos, perskaičiusios vieną antraštę ir sustojusios, dabar planuoja pagal neteisingas datas.

Kas taikoma jau dabar

BDAR, vis dar pagrindas

Nė vienas naujosios bangos aktas nepakeičia Bendrojo duomenų apsaugos reglamento. Jis lieka pagrindiniu sluoksniu, ir būtent iš jo vis dar kyla didžiausios baudos. Jei jūsų duomenų modelis, saugojimo užduotys ir duomenų subjekto prašymų dėl prieigos procesas silpni, viskas, kas pastatyta ant jų, paveldi tą silpnumą. Atskirą, į inžineriją orientuotą apžvalgą parašėme mūsų praktiniame BDAR vadove svetainėms.

Europos prieinamumo aktas

Direktyva 2019/882 pradėta taikyti 2025 m. birželio 28 d., o jos vykdymo užtikrinimas stiprėjo per visus 2026 m. Ji apima vartotojams skirtą e. prekybą, bankininkystę, transporto bilietus, telekomunikacijas, e. knygas ir kt. Techninis etalonas yra EN 301 549. 2026 m. rugsėjį paskelbta 4.1.1 versija pereina prie WCAG 2.2, tačiau kol Komisija jos nepaskelbs Oficialiajame leidinyje, atitikties prezumpcijai taikoma v3.2.1, atitinkanti WCAG 2.1 AA lygį.

Šis aktas žmones nustebina, nes tai ne dokumentavimo pratimas. Jam reikia tikrų žymėjimo, fokuso valdymo, spalvų kontrasto, formų klaidų tvarkymo ir naršymo klaviatūra pakeitimų. Prancūzijos teismas jau įpareigojo Carrefour pasiekti atitiktį, skirdamas dienos baudą. Išsamiau rašome mūsų Europos prieinamumo akto vadove.

Duomenų aktas

Reglamentas 2023/2854 pradėtas taikyti 2025 m. rugsėjo 12 d. Jis suteikia naudotojams teisę į duomenis, kuriuos generuoja jų prijungti produktai, ir verčia debesijos paslaugų teikėjus padaryti perėjimą realų, o ne teorinį. Nuo 2026 m. rugsėjo 12 d. naujai į rinką pateikiami prijungti produktai ir susijusios paslaugos turi būti suprojektuoti taip, kad duomenys būtų prieinami pagal numatytuosius nustatymus, o tai yra architektūros, o ne teisinis reikalavimas. Žr. mūsų Duomenų akto apžvalgą.

NIS2

Valstybės narės NIS2 į nacionalinę teisę perkelia labai skirtingu greičiu. Vokietija registracijos portalą atidarė 2026 m. sausio 6 d., Nyderlanduose įstatymas įsigaliojo 2026 m. rugpjūčio 15 d., o kitos šalys vis dar vejasi. Jei patenkate į taikymo sritį, privalote pranešti apie incidentus per 24 valandas ir pateikti savo klientams įrodymų, kad valdote tiekimo grandinės riziką. Praktinę pusę aptaria mūsų NIS2 praktinis vadovas.

Gavėjo patikra (Verification of Payee)

Nuo 2025 m. spalio 9 d. euro zonos mokėjimo paslaugų teikėjai privalo siūlyti nemokamą patikrą, ar gavėjo vardas atitinka IBAN, prieš patvirtinant pervedimą. Visiems, kurie kuria mokėjimų ar išmokų procesus, tai pridėjo naują žingsnį prieš patvirtinimą ir naują dalinio atitikimo būsenų rinkinį, kurį reikia apdoroti naudotojo sąsajoje. Apie tai rašėme straipsnyje momentiniai mokėjimai ir gavėjo patikra.

2026 m. gairės

2026 m. rugpjūčio 2 d.: DI akto skaidrumas

50 straipsnio prievolės jau taikomos. Jei jūsų produktas bendrauja su naudotojais per pokalbių robotą, turite jiems pranešti, kad jie kalbasi su mašina. Jei jis generuoja sintetinį garsą, vaizdus, vaizdo įrašus ar tekstą, rezultatas turi būti pažymėtas mašininiu būdu skaitomu formatu. Kita dalis, įskaitant vandens ženklų detales ir draudimą įrankiams, kurie „nurengia“ žmones nuotraukose, įsigalioja 2026 m. gruodžio 2 d.

Griežtesnės didelės rizikos prievolės pasislinko. Savarankiškoms III priedo sistemoms dabar skirta laiko iki 2027 m. gruodžio 2 d., o į reguliuojamus produktus įdiegtam DI iki 2028 m. rugpjūčio 2 d. Tai tikras atokvėpis, bet tik didelės rizikos lygmeniui. Išsami apžvalga mūsų straipsnyje apie DI akto skaidrumo prievoles.

2026 m. rugsėjo 11 d.: Kibernetinio atsparumo akto pranešimai

Nuo 2026 m. rugsėjo 11 d. produktų su skaitmeniniais elementais gamintojai privalo pranešti apie aktyviai išnaudojamus pažeidžiamumus ir sunkius incidentus per vieną ES pranešimų platformą. Išankstinis įspėjimas per 24 valandas, išsamus pranešimas per 72 valandas, galutinė ataskaita per 14 dienų. 24 valandų termino neįmanoma įvykdyti nežinant, kas yra jūsų produkte, todėl komandos kuria SBOM srautus metais anksčiau nei formalus SBOM reikalavimas. Žr. Kibernetinio atsparumo akto vadovą.

2026 m. rugsėjo 12 d.: Duomenų akto projektavimo prievolės

Reikalavimas projektuoti prieigai dabar taikomas naujai pateikiamiems produktams.

2026 m. rugsėjo 27 d.: Direktyva dėl vartotojų įgalėjimo žaliajai pertvarkai

Nuo 2026 m. rugsėjo 27 d. bendriniai teiginiai apie poveikį aplinkai neteko teisinės apsaugos, tvarumo ženklus reikia patikrinti, o pirkimo procese turi būti pateiktas suderintas pranešimas ir ženklas apie komercines garantijas. Tai turinio ir šablonų pakeitimas produktų puslapiuose, kategorijų puslapiuose ir atsiskaitymo procese. Aptariama straipsnyje žalieji teiginiai ir produktų duomenų atitiktis.

2026 m. gruodžio 24 d.: Europos skaitmeninės tapatybės piniginė

Kiekviena valstybė narė turi pasiūlyti bent vieną piniginę. Įpareigotos pasikliaujančiosios šalys, įskaitant bankus, transportą, energetiką, sveikatos priežiūrą ir telekomunikacijas, privalo ją priimti nuo 2027 m. gruodžio. Jei norite ją priimti anksčiau, turite užsiregistruoti kaip pasikliaujančioji šalis ir palaikyti piniginės kredencialų formatus. Mūsų EUDI piniginės integravimo vadove paaiškinta, ką tai apima.

Kas dar keičiasi

Verta stebėti dvi bylas, nesudarant planų vien pagal jas.

Skaitmeninis omnibusas, kaip jį pasiūlė Komisija, slapukų sutikimo taisykles perkeltų į patį BDAR, per siūlomus 88a ir 88b straipsnius. Svarbiausi pakeitimai: sutikimas arba atsisakymas vienu paspaudimu, taisyklė, draudžianti šešis mėnesius pakartotinai klausti atsisakiusių naudotojų, ir teisiškai privalomi mašininiu būdu skaitomi sutikimo signalai. 2026 m. spalio 2 d. Tarybos kompromisinis tekstas skiriasi: slapukų taisyklės paliekamos E. privatumo direktyvoje, privalomi naršyklės signalai atsisakomi, o laukimas sutrumpinamas iki keturių mėnesių. 2026 m. spalio 10 d. duomenimis, Taryba savo įgaliojimų nebuvo priėmusi, Parlamentas pozicijos neturėjo, o trišaliai dialogai nebuvo prasidėję. Niekas nėra galutinai nuspręsta, ir mes neperkurtume sutikimų platformos manydami, kad jis bus priimtas nepakeistas, tačiau kryptis pakankamai aiški, kad turėtų įtakos tam, kaip tokią platformą projektuojate. Mūsų požiūris išdėstytas straipsnyje slapukų sutikimas po skaitmeninio omnibuso.

Skaitmeninio sąžiningumo aktas vis dar yra pasiūlymo etape, tikimasi jo 2026 m. pabaigoje, ir jis tiesiogiai nukreiptas prieš apgaulingus dizaino modelius (dark patterns), individualizuotą kainodarą ir priklausomybę sukeliantį dizainą. Realiai jis bus taikomas kažkur nuo 2028 iki 2030 m. Dabar jis svarbus tik todėl, kad parodo, kurie sąsajos modeliai gyvena skolintu laiku.

Mokėjimų sluoksnis, kurio niekas neplanavo

Yra dar vienas pokytis, kuris visai nėra reglamentas, bet elgiasi kaip reglamentas, nes labai greitai plinta Europos atsiskaitymo puslapiuose.

Wero, Europos mokėjimų iniciatyvos (European Payments Initiative) sukurta piniginė, per 2025 ir 2026 m. iš pervedimų tarp asmenų perėjo į e. prekybą. Ji atsiskaito per SEPA momentinį kredito pervedimą maždaug per dešimt sekundžių ir visiškai apeina kortelių schemas. Lidl 2026 m. liepą paskelbė apie palaikymą svetainėje lidl.de, o priėmimas fizinėse parduotuvėse ir Belgijos bei Prancūzijos e. parduotuvės seka vėliau šiais metais. Decathlon, Rossmann, Hornbach, Eventim ir kiti jau veikia.

Niekas teisiškai neprivalo priimti Wero. Tačiau kai Lidl masto pigių prekių tinklas prideda mokėjimo būdą, likusi rinka paprastai seka paskui, o integracija nėra nemokamas darbas: ji paliečia jūsų atsiskaitymo procesą, užsakymų būsenų mašiną, grąžinimų logiką ir suderinimą. Apie tai parašėme Wero integravimo vadove.

Kaip sudėlioti eiliškumą neprarandant ketvirčio

Instinktas yra atidaryti atitikties darbo kryptį ir bandyti uždaryti viską iš karto. Paprastai iš to gaunama skaičiuoklė ir labai mažai įdiegto kodo. Mūsų patirtimi, geriau veikia štai kas:

Pradėkite nuo sąžiningai įvertintos taikymo srities. Daugumoje šių taisyklių yra ribų, išimčių ir apibrėžimų, kurie iš esmės keičia jūsų prievoles. Paslaugas teikiančiai labai mažai įmonei didelė Prieinamumo akto dalis netaikoma. Įmonei, kuri negamina produktų su skaitmeniniais elementais, Kibernetinio atsparumo aktas netaikomas. Pusvalandis su tikraisiais taikymo sritį apibrėžiančiais straipsniais sutaupo mėnesius.

Raskite persidengimus ir kurkite vieną kartą. Prieinamumo darbas pagal Europos prieinamumo aktą taip pat padeda įvykdyti DI akto skaidrumo taisyklių aiškumo reikalavimus. BDAR sukurta sutikimų infrastruktūra atlieka didžiąją dalį darbo skaitmeninio omnibuso pakeitimams. Kibernetinio atsparumo aktui sukurtas SBOM srautas atsako į didelę dalį NIS2 tiekimo grandinės klausimų. Laikykite tai bendru platformos darbu, o ne dvylika atskirų projektų.

Pirmiausia sutvarkykite tai, kam reikia projektavimo sprendimų. Duomenų prieiga pagal numatytuosius nustatymus, kredencialų priėmimas, prieinamumo semantika ir sutikimų architektūra brangiai kainuoja pritaikant vėliau. Pranešimų procesai ir dokumentacija ne. Atitinkamai ir sudėliokite eiliškumą.

Užrašykite, ką nusprendėte ir kodėl. Daugumoje šių režimų tikimasi, kad galėsite paaiškinti savo motyvus, o ne tik parodyti žalią varnelę. Trumpas architektūros sprendimo įrašas pranoksta ilgą politikos PDF.

Kur esame mes

Esame programinės įrangos įmonė, ne advokatų kontora, ir tai aiškiai sakome kiekvienam klientui. Teisinių išvadų neteikiame. Mes imame jūsų teisininkų komandos priimtą interpretaciją ir paverčiame ją veikiančiomis sistemomis: sutikimų platformomis, prieinamomis komponentų bibliotekomis, duomenų prieigos API, SBOM srautais, piniginių integracijomis, mokėjimų procesais ir nuobodžia infrastruktūra po visu tuo.

Mūsų komandos dirba Liublianoje ir Novi Sade, toje pačioje reguliavimo aplinkoje, kurią aprašome, todėl su šiais terminais susiduriame ir savo pačių produktuose.

Jei bandote išsiaiškinti, kurie iš šių reikalavimų iš tikrųjų taikomi jums, arba kalendoriuje turite datą, o už jos jokio plano, susisiekite office@c9group.dev. Daugiau apie tai, kaip padedame įmonėms įeiti į Europos rinką ar plėstis joje, galite paskaityti mūsų įėjimo į Europos rinką puslapyje.