ES digitālā atbilstība 2026. gadā: noteikumi, kas tagad sniedzas līdz jūsu kodam

Aptuveni septiņus gadus VDAR (GDPR) bija vienīgā Eiropas regula, ko katra produktu komanda zināja pēc nosaukuma. Ja jums bija vietne, kas skāra Eiropas lietotājus, jūs iemācījāties par likumīgiem pamatiem, izveidojāt sīkdatņu paziņojumu, parakstījāt datu apstrādes līgumus un gājāt tālāk.

Šis laikmets ir beidzies. No 2024. līdz 2028. gadam Eiropas Savienība pieņem veselu digitālo regulu kopumu, kas katra atsevišķi ir tikpat prasīga kā VDAR, bet kopā daudz uzbāzīgāka. Atšķirība ir tā, ka šie jaunie noteikumi neapstājas pie privātuma politikas. Tie sniedzas līdz jūsu norēķinu plūsmai, komponentu bibliotēkai, incidentu reaģēšanas procesam, programmatūras komponentu sarakstam un produktu datu modelim.

Mēs izstrādājam un uzturam programmatūru uzņēmumiem, kas darbojas Eiropā, un liela daļa mūsu nedēļas paiet, pārvēršot šos pienākumus uzdevumos. Šī ir mūsu darba karte par to, kas ir spēkā tagad, kas nāks nākamais un ko tas viss patiesībā nozīmē cilvēkiem, kuri raksta kodu.

Kāpēc šis vilnis ir citāds

VDAR lielākoties bija horizontāla. Viena regula, viens principu kopums, kas attiecas uz ikvienu, kas apstrādā personas datus. Vilnis no 2024. līdz 2028. gadam ir vertikāls un pārklājas. Viens vidēja lieluma e-komercijas uzņēmums, kas pārdod viedās mājas ierīces Vācijā un Francijā, tagad vienlaikus var ietilpt vismaz astoņu atsevišķu instrumentu darbības jomā, katram ar savu regulatoru, savu termiņu un savu definīciju par to, kurš ir atbildīgs.

No tā izriet trīs praktiskas sekas.

Pirmkārt, atbilstību vairs nevar pieskrūvēt pirms palaišanas. Vairāki no šiem noteikumiem prasa dizaina lēmumus, un slikti pieņemts dizaina lēmums otrajā mēnesī divdesmitajā mēnesī maksā pārbūvi.

Otrkārt, tehniskie artefakti ir svarīgāki par dokumentiem. Regulatori arvien biežāk prasa mašīnlasāmus pierādījumus: programmatūras komponentu sarakstu (SBOM), atbilstības novērtējumu, piekļūstamības paziņojumu, piekrišanas ierakstu, incidenta laika grafiku. Nevienu neiespaido politikas dokuments, kas apraksta kontroli, kuras sistēmā nav.

Treškārt, termiņi ir pakāpeniski, un daži no tiem ir pārcelti. Pēc 2025. gada novembrī ierosinātās digitālās omnibusa paketes daļa MI akta tika atlikta, bet citas daļas palika tieši tur, kur bija. Komandas, kas izlasīja vienu virsrakstu un apstājās, tagad plāno pēc nepareiziem datumiem.

Kas ir spēkā tieši tagad

VDAR, joprojām pamats

Nekas jaunajā vilnī neaizstāj Vispārīgo datu aizsardzības regulu. Tā paliek pamata slānis, un tieši no tās joprojām nāk lielākie naudas sodi. Ja jūsu datu modelis, glabāšanas uzdevumi un datu subjekta piekļuves pieprasījumu process ir vāji, viss, kas uzbūvēts virsū, šo vājumu manto. Atsevišķu, uz inženieriju vērstu apskatu esam uzrakstījuši mūsu praktiskajā VDAR ceļvedī vietnēm.

Eiropas Piekļūstamības akts

Direktīva 2019/882 kļuva piemērojama 2025. gada 28. jūnijā, un uzraudzība 2026. gadā pakāpeniski pastiprinājās. Tā aptver patērētājiem paredzētu e-komerciju, banku pakalpojumus, transporta biļetes, telekomunikācijas, e-grāmatas un citus. Tehniskais etalons ir EN 301 549. 4.1.1. versija, publicēta 2026. gada septembrī, pāriet uz WCAG 2.2, bet, kamēr Komisija to nav norādījusi Oficiālajā Vēstnesī, atbilstības prezumpcijas atsauce paliek v3.2.1, kas atbilst WCAG 2.1 AA līmenim.

Šis daudzus pārsteidz, jo tas nav dokumentācijas vingrinājums. Tas prasa reālas izmaiņas iezīmēšanā, fokusa pārvaldībā, krāsu kontrastā, veidlapu kļūdu apstrādē un navigācijā ar tastatūru. Francijas tiesa jau ir uzdevusi Carrefour panākt atbilstību, piemērojot dienas sodu. Sīkāka informācija ir mūsu Eiropas Piekļūstamības akta ceļvedī.

Datu akts

Regula 2023/2854 kļuva piemērojama 2025. gada 12. septembrī. Tā dod lietotājiem tiesības uz datiem, ko rada viņu pievienotie produkti, un liek mākoņpakalpojumu sniedzējiem padarīt pāreju pie cita sniedzēja reālu, nevis teorētisku. Kopš 2026. gada 12. septembra pievienotie produkti un saistītie pakalpojumi, ko no jauna laiž tirgū, jāprojektē tā, lai dati būtu pieejami pēc noklusējuma, un tā ir arhitektūras, nevis juridiska prasība. Skatiet mūsu Datu akta apskatu.

NIS2

Dalībvalstis NIS2 transponē ļoti dažādā ātrumā. Vācija atvēra savu reģistrācijas portālu 2026. gada 6. janvārī, Nīderlande savu likumu ieviesa 2026. gada 15. augustā, un citas valstis vēl tikai panāk. Ja ietilpstat darbības jomā, jums jāziņo par incidentiem 24 stundu laikā un jāsniedz klientiem pierādījumi, ka pārvaldāt piegādes ķēdes risku. Mūsu NIS2 praktiskais ceļvedis aptver praktisko pusi.

Maksājuma saņēmēja pārbaude

Kopš 2025. gada 9. oktobra maksājumu pakalpojumu sniedzējiem eurozonā jāpiedāvā bezmaksas pārbaude, vai maksājuma saņēmēja vārds atbilst IBAN, pirms pārvedums tiek apstiprināts. Ikvienam, kas veido maksājumu vai izmaksu plūsmas, tas pievienoja jaunu soli pirms apstiprināšanas un jaunu daļējas atbilstības stāvokļu kopu, kas jāapstrādā saskarnē. Par to rakstījām rakstā tūlītējie maksājumi un maksājuma saņēmēja pārbaude.

2026. gada atskaites punkti

2026. gada 2. augusts: MI akta pārredzamība

MI akta 50. panta pienākumi tagad ir spēkā. Ja jūsu produkts sazinās ar lietotājiem ar tērzēšanas robota starpniecību, jums viņiem jāpasaka, ka viņi runā ar mašīnu. Ja tas ģenerē sintētisku audio, attēlus, video vai tekstu, rezultātam jābūt marķētam mašīnlasāmā veidā. Nākamā daļa, tostarp ūdenszīmju detaļas un aizliegums rīkiem, kas ģenerē kailattēlus, seko 2026. gada 2. decembrī.

Smagākie augsta riska pienākumi tika pārcelti. Atsevišķām III pielikuma sistēmām tagad ir laiks līdz 2027. gada 2. decembrim, un MI, kas iebūvēts regulētos produktos, līdz 2028. gada 2. augustam. Tas ir reāls atvieglojums, bet tikai augsta riska līmenim. Pilns sadalījums ir mūsu rakstā par MI akta pārredzamību.

2026. gada 11. septembris: ziņošana saskaņā ar Kibernoturības aktu

Kopš 2026. gada 11. septembra produktu ar digitāliem elementiem ražotājiem jāziņo par aktīvi izmantotām ievainojamībām un smagiem incidentiem caur vienotu ES ziņošanas platformu. Agrīnais brīdinājums 24 stundu laikā, pilns paziņojums 72 stundu laikā, galīgais ziņojums 14 dienu laikā. 24 stundu termiņu nevar ievērot, nezinot, kas ir jūsu produktā, tāpēc komandas veido SBOM konveijerus gadu pirms oficiālās SBOM prasības. Skatiet Kibernoturības akta ceļvedi.

2026. gada 12. septembris: Datu akta projektēšanas pienākumi

Prasība projektēt ar piekļuvi datiem tagad attiecas uz no jauna tirgū laistiem produktiem.

2026. gada 27. septembris: Patērētāju iespēcināšanas direktīva

Kopš 2026. gada 27. septembra vispārīgi vides apgalvojumi ir zaudējuši juridisko aizsegu, ilgtspējas marķējumiem vajag verifikāciju, un pirkuma plūsmā jāparādās saskaņotam paziņojumam un marķējumam par komerciālajām garantijām. Tās ir satura un veidņu izmaiņas produktu lapās, kategoriju lapās un norēķinos. Aplūkots rakstā zaļie apgalvojumi un produktu datu atbilstība.

2026. gada 24. decembris: Eiropas digitālās identitātes maks

Katrai dalībvalstij jādara pieejams vismaz viens maks. Pienākumam pakļautajām paļāvīgajām pusēm, tostarp bankām, transportam, enerģētikai, veselības aprūpei un telekomunikācijām, tas jāpieņem no 2027. gada decembra. Ja vēlaties būt starp pirmajiem, kas to pieņem, jums jāreģistrējas kā paļāvīgajai pusei un jāatbalsta maka akreditācijas datu formāti. Mūsu EUDI maka integrācijas ceļvedis paskaidro, ko tas ietver.

Kas vēl mainās

Divas lietas ir vērts vērot, pārāk daudz ap tām neplānojot.

Digitālais omnibuss, kā to ierosināja Komisija, iekļautu sīkdatņu piekrišanas noteikumus pašā VDAR ar ierosinātajiem 88.a un 88.b pantu. Galvenās izmaiņas ir pieņemšana vai noraidīšana ar vienu klikšķi, noteikums, kas aizliedz sešus mēnešus atkārtoti jautāt lietotājiem, kuri atteicās, un juridiski saistoši mašīnlasāmi piekrišanas signāli. Padomes 2026. gada 2. oktobra kompromisa teksts atšķiras: tas atstāj sīkdatņu noteikumus e-privātuma direktīvā, atsakās no saistošajiem pārlūka signāliem un saīsina gaidīšanu līdz četriem mēnešiem. Uz 2026. gada 10. oktobri Padome nebija pieņēmusi savu mandātu, Parlamentam nebija nostājas, un trialogi nebija sākušies. Nekas nav galīgs, un mēs nepārbūvētu piekrišanas platformu, pieņemot, ka tas tiks pieņemts bez izmaiņām, bet virziens ir pietiekami skaidrs, lai ietekmētu to, kā to projektējat. Mūsu viedoklis ir rakstā sīkdatņu piekrišana pēc digitālā omnibusa.

Digitālā godīguma akts joprojām ir priekšlikuma stadijā, gaidāms 2026. gada beigās, un ir tieši vērsts pret maldinošiem saskarnes paņēmieniem, personalizētu cenu noteikšanu un atkarību izraisošu dizainu. Reāli tas būs piemērojams kaut kad no 2028. līdz 2030. gadam. Tagad tas ir svarīgs tikai tāpēc, ka norāda, kuri saskarnes modeļi dzīvo uz aizņemta laika.

Maksājumu slānis, ko neviens neplānoja

Ir vēl viena pārmaiņa, kas nemaz nav regula, bet uzvedas kā regula, jo tik ātri izplatās Eiropas norēķinu lapās.

Wero, maks, ko izveidoja European Payments Initiative, 2025. un 2026. gadā no pārskaitījumiem starp privātpersonām pārgāja uz e-komerciju. Tas norēķinās ar SEPA tūlītējo kredīta pārvedumu aptuveni desmit sekundēs un pilnībā apiet karšu shēmas. Lidl 2026. gada jūlijā paziņoja par atbalstu lidl.de, un vēlāk gadā sekos pieņemšana veikalos un Beļģijas un Francijas interneta veikali. Decathlon, Rossmann, Hornbach, Eventim un citi jau to pieņem.

Nevienam nav juridiska pienākuma pieņemt Wero. Bet, kad atlaižu tīkls ar Lidl mērogu pievieno maksājumu veidu, pārējais tirgus parasti seko, un integrācija nav bezmaksas darbs: tā skar jūsu norēķinus, pasūtījumu stāvokļu mašīnu, atmaksu loģiku un saskaņošanu. Par to rakstījām Wero integrācijas ceļvedī.

Kā to sakārtot, nezaudējot ceturksni

Pirmais impulss ir atvērt atbilstības darba plūsmu un mēģināt aizvērt visu. Parasti tas rada izklājlapu un ļoti maz izlaista koda. Mūsu pieredzē labāk darbojas šādi.

Sāciet ar darbības jomu, godīgi. Lielākajai daļai šo noteikumu ir sliekšņi, izņēmumi un definīcijas, kas būtiski maina to, kas jums jādara. Mikrouzņēmums, kas sniedz pakalpojumus, lielā mērā neietilpst Piekļūstamības akta darbības jomā. Uzņēmums, kas neražo produktus ar digitāliem elementiem, neietilpst Kibernoturības akta darbības jomā. Pusstunda ar īstajiem darbības jomas pantiem ietaupa mēnešus.

Atrodiet pārklāšanās un būvējiet vienreiz. Piekļūstamības darbs saskaņā ar EAA uzlabo arī skaidrības prasības MI akta pārredzamības noteikumos. VDAR vajadzībām izveidota piekrišanas infrastruktūra nes lielāko daļu slodzes digitālā omnibusa izmaiņām. Kibernoturības aktam izveidots SBOM konveijers atbild uz lielu daļu NIS2 piegādes ķēdes jautājumu. Uztveriet to kā kopīgu platformas darbu, nevis divpadsmit atsevišķus projektus.

Vispirms labojiet to, kam vajag dizaina lēmumus. Datu piekļuve pēc noklusējuma, akreditācijas datu pieņemšana, piekļūstamības semantika un piekrišanas arhitektūra ir dārgi pielāgojamas vēlāk. Ziņošanas darbplūsmas un dokumentācija nav. Kārtojiet secību atbilstoši.

Pierakstiet, ko izlēmāt un kāpēc. Lielākā daļa šo režīmu sagaida, ka spēsiet izskaidrot savu argumentāciju, nevis tikai parādīt zaļu ķeksīti. Īss arhitektūras lēmuma ieraksts ir labāks par garu politikas PDF.

Kur esam mēs

Mēs esam programmatūras uzņēmums, nevis juridiskais birojs, un to skaidri pasakām katram klientam. Mēs nesniedzam juridiskus atzinumus. Mēs ņemam interpretāciju, pie kuras nonākusi jūsu juridiskā komanda, un pārvēršam to strādājošās sistēmās: piekrišanas platformās, piekļūstamās komponentu bibliotēkās, datu piekļuves API, SBOM konveijeros, maku integrācijās, maksājumu plūsmās un garlaicīgajā infrastruktūrā zem tā visa.

Mūsu komandas strādā no Ļubļanas un Novi Sadas, tajā pašā regulējuma vidē, ko aprakstām, tāpēc ar šiem termiņiem saskaramies arī savos produktos.

Ja mēģināt saprast, kuri no šiem noteikumiem uz jums patiešām attiecas, vai jums kalendārā ir datums, bet aiz tā nav plāna, sazinieties ar mums: office@c9group.dev. Vairāk par to, kā atbalstām uzņēmumus, kas ienāk Eiropā vai paplašinās tajā, varat izlasīt mūsu Eiropas tirgus apgūšanas lapā.