De EU-wetgevingspijplijn: wat er komt na de deadlines van 2026

De meeste teksten over naleving gaan over regels die al gelden. Daar hebt u iets aan bij de volgende audit, maar niets bij het plannen, want de dure beslissingen zijn architectuurbeslissingen en die worden achttien maanden voor een deadline genomen.

Dit is de andere helft van het beeld: wat er op dit moment door de Europese wetgevingsmachine gaat, wanneer het er ongeveer aankomt, en welk deel daarvan echt zou moeten meewegen in wat u nu bouwt.

Eerst een waarschuwing. Voorstellen veranderen, sommige sneuvelen en data schuiven op. Niets hiervan is een reden om nu al voor een niet-aangenomen tekst te gaan bouwen. Het is wel een reden om te voorkomen dat u iets bouwt dat door een duidelijk aankomende regel duur wordt.

Hoe u de fasen leest

Europese wetgeving doorloopt voorspelbare fasen, en aan de fase waarin een dossier zit, ziet u hoeveel gewicht u eraan moet geven.

Aangekondigd in het werkprogramma. De Commissie heeft laten weten dat zij iets wil voorstellen. Er is geen tekst. Nuttig als richting, meer niet.

Voorstel gepubliceerd. Er ligt een tekst. Die verandert nog, vaak flink, maar de vorm en de definities zijn nu zichtbaar.

Algemene oriëntatie van de Raad en mandaat van het Parlement. Beide medewetgevers hebben een positie ingenomen. Daarmee is de onderhandelingsruimte zichtbaar: alles waar beide kanten het over eens zijn, haalt vrijwel zeker de eindstreep.

Triloog. Onderhandeling achter gesloten deuren tussen Parlement, Raad en Commissie. De uitkomst ligt doorgaans ergens tussen de twee mandaten in.

Politiek akkoord, dan formele aanneming, dan inwerkingtreding, dan toepassing. In de periode tussen aanneming en toepassing doet u het eigenlijke werk, en die periode duurt meestal achttien maanden tot drie jaar.

De praktische regel: zodra beide medewetgevers hun mandaat hebben gepubliceerd, kunt u veilig plannen op alles waar ze het over eens zijn. Tot dat moment is alles niet meer dan een richting.

Nu in onderhandeling

De Digital Omnibus

Het grootste vereenvoudigingspakket van deze cyclus, voorgesteld in november 2025. Het raakt de AVG, de AI-verordening, de dataverordening, ePrivacy en de meldplichten rond cyberbeveiliging. Het deel over de AI-verordening is afgesplitst en is al wet: Verordening (EU) 2026/1744, in werking sinds 27 juli 2026.

Wat voor productteams het zwaarst weegt, zijn de door de Commissie voorgestelde artikelen 88 bis en 88 ter. Die zouden de regels voor cookietoestemming uit de ePrivacyrichtlijn naar de AVG zelf verhuizen, de uitzonderingen waarvoor geen toestemming nodig is verruimen, een stilteperiode van zes maanden invoeren na een weigering, en machineleesbare toestemmingssignalen op browserniveau juridisch bindend maken.

Het deel over de AVG en ePrivacy is nog niet aan de triloog toegekomen. Op 10 oktober 2026 heeft de Raad geen onderhandelingsmandaat (een stemming van de EU-ambassadeurs die voor 7 oktober gepland stond, is uitgesteld, naar verluidt tot 11 oktober), en de commissies van het Parlement werken zich nog door meer dan 1.750 amendementen op hun ontwerpverslag van juni 2026. De compromistekst van de Raad laat de cookieregels in de ePrivacyrichtlijn staan, schrapt de artikelen 88 bis en 88 ter en verkort de wachttijd na een weigering tot vier maanden. Dit blijft op korte termijn veruit de waarschijnlijkste verandering in hoe toestemming in de praktijk werkt; hoe wij het lezen, staat in cookietoestemming na de Digital Omnibus.

Wie het aangaat: iedereen met een toestemmingsplatform, analytics, advertenties of personalisatie.

Het digitale-europakket

Positie van de Raad in december 2025, commissiemandaat van het Parlement aangenomen met 43 tegen 14, trilogen geopend in juli 2026, en alle drie de instellingen willen het dossier in 2026 rond hebben. De pilot van de ECB loopt vanaf de tweede helft van 2027, met als streefdatum voor de eerste uitgifte 2029.

De details staan in onze gids voor de uitvoering van de digitale euro.

Wie het aangaat: banken, betaaldienstverleners, e-commerceplatforms, leveranciers van kassasoftware.

Financial Data Access, kortweg FiDA

Het dossier open finance. Het trekt gegevenstoegang in de stijl van open banking door van betaalrekeningen naar beleggingen, pensioenen, verzekeringen en hypotheken, en introduceert een nieuwe gereguleerde categorie: de aanbieder van financiële informatiediensten.

Van alles in deze lijst heeft FiDA het moeizaamste traject achter de rug. Na medio 2025 boekten de trilogen weinig zichtbare vooruitgang, en in april 2026 stuurde de Commissie de Raad een non-paper met een smallere reikwijdte om ze weer op gang te brengen. De toepassing zou gefaseerd verlopen en begint realistisch gezien niet vóór het einde van het decennium.

Wie het aangaat: fintech, insurtech, vermogensplatforms en iedereen wiens product baat zou hebben bij toegang met toestemming tot financiële gegevens buiten de betaalrekening om.

Overeengekomen maar nog niet van toepassing

PSD3 en de verordening betalingsdiensten

Raad en Parlement bereikten op 27 november 2025 een voorlopig politiek akkoord over het betaalkader. Dit is de herziening van PSD2: strengere verplichtingen voor fraudepreventie, een bredere aansprakelijkheidsverdeling bij bepaalde vormen van fraude waaronder spoofing, wijzigingen in de sterke cliëntauthenticatie, prestatie-eisen voor open banking-interfaces en een samenvoeging van de regimes voor betaalinstellingen en elektronischgeldinstellingen.

De overeengekomen teksten staan nog niet in het Publicatieblad. Volgens het proceduredossier van het Parlement wachten ze op 10 oktober 2026 op het formele standpunt van de Raad in eerste lezing, en de slotstemming in de plenaire vergadering staat indicatief op 14 december 2026. Omdat het om een verordening plus een richtlijn gaat, werkt een deel rechtstreeks door en moet een deel worden omgezet. Reken eerder op toepassing tegen het einde van het decennium dan op korte termijn.

Wie het aangaat: elk product dat betalingen initieert, klantgeld aanhoudt of open banking-interfaces afneemt.

Voorgesteld, posities in wording

De Europese bedrijfswallet

Voorgesteld als de zakelijke tegenhanger van de EU-wallet voor digitale identiteit. Waar de persoonlijke wallet de attesten van een persoon bevat, bevat de bedrijfswallet die van een onderneming: registergegevens, mandaten, vertegenwoordigingsbevoegdheden, certificaten en de mogelijkheid om ondertekende documenten over de grens uit te wisselen.

De Raad nam zijn onderhandelingspositie aan op 9 juni 2026, en de ITRE-commissie van het Parlement nam op 10 september 2026 haar verslag en een onderhandelingsmandaat aan, zodat de trilogen kunnen beginnen. De ambitie is een politiek akkoord voor eind 2026. De Commissie stelde voor dat overheidsinstanties bedrijfswallets binnen 24 maanden na inwerkingtreding aanvaarden; de tekst van de Raad vervangt die termijn door een latere datum: twee jaar nadat de laatste uitvoeringshandelingen van toepassing zijn.

De details staan in onze gids voor de Europese bedrijfswallet.

Wie het aangaat: iedereen die B2B-onboarding, inkoop, leveranciersverificatie, e-facturatie of gereguleerde bedrijfsprocessen bouwt.

De Cloud and AI Development Act

Een vlaggenschip van de agenda voor technologische soevereiniteit van de Commissie, voorgesteld op 3 juni 2026 als COM(2026) 502. Het voorstel bestrijkt onderzoek en innovatie, snellere vergunningen voor datacenters (het gestelde doel is de datacentercapaciteit in de EU tegen 2030 minstens te verdrievoudigen) en één EU-kader met vier niveaus van soevereiniteitsborging voor clouddiensten. Overheidsinkopers zouden minimaal niveau 1 moeten inkopen, en niveau 2 tot en met 4 voor activiteiten die van belang zijn voor de openbare orde.

Waar het werkelijk over gaat, is de afhankelijkheid van niet-Europese cloudaanbieders, en het mechanisme dat daar waarschijnlijk het meeste afdwingt, is de aanbesteding, niet directe regulering van private afnemers.

De details staan in onze gids voor de Cloud and AI Development Act.

Wie het aangaat: cloudaanbieders, iedereen die software verkoopt aan Europese overheidsafnemers, en iedereen wiens architectuur uitgaat van één hyperscaler.

De Digital Networks Act

In januari 2026 gepresenteerd, na meerdere keren uitstel. De wet herschrijft de spelregels voor de telecomsector: spectrumharmonisatie, de interne markt voor elektronische communicatie, normen voor netwerkbeveiliging, en de al jaren slepende discussie of grote verkeersaanbieders moeten meebetalen aan de netwerkkosten.

Wie het aangaat: telecomoperatoren, aanbieders van CDN en connectiviteit, en elke dienst waarvan het verdienmodel op goedkope transit rust.

De Digital Fairness Act

Gepland voor het vierde kwartaal van 2026, dus voorlopig nog een voorstel en geen wet. Die richt zich rechtstreeks op misleidende ontwerppatronen, verslavend ontwerp, influencermarketing en personalisatie die de kwetsbaarheid van consumenten uitbuit, inclusief gepersonaliseerde prijzen.

Dit voorstel verdient ruim voor de toepassingsdatum aandacht, want het raakt precies die interfacepatronen waarop veel producten hun conversie hebben gebouwd. De details staan in onze gids voor de Digital Fairness Act.

Wie het aangaat: consumentgerichte producten van elke soort, en zeker abonnementen, games, marktplaatsen en sociale media.

Herziening van de chipverordening

De Commissie stelde op 3 juni 2026 een Chips Act 2.0 voor (COM(2026) 504), die de chipverordening van 2023 zou intrekken en vervangen. De eerste chipverordening gold algemeen als te licht voor haar eigen ambitie. De nieuwe tekst voegt crisisinstrumenten toe, waaronder voorrangsorders voor kritieke sectoren, naast steun voor productiefaciliteiten en chipontwerp. De financieringskant staat in onze gids voor de chipverordening.

Wie het aangaat: halfgeleider- en hardwarebedrijven, en iedereen die het geld van het Europese industriebeleid volgt.

Hervorming van het aanbestedingsrecht

De Commissie stelde op 9 september 2026 een Public Procurement Act voor (COM(2026) 590). Die zou de drie aanbestedingsrichtlijnen van 2014 vervangen door één verordening en een kader voor Europese voorkeur toevoegen waarmee overheidsinkopers in strategische sectoren deelname kunnen beperken of EU-oorsprong kunnen bevoordelen. Verkoopt u aan Europese overheden, dan zijn de aanbestedingsregels het kanaal waarlangs een verrassend groot deel van het technologiebeleid u daadwerkelijk bereikt.

Wie het aangaat: iedereen met omzet uit de publieke sector in Europa.

Aangekondigd, nog zonder vorm

Van een aantal initiatieven is alleen het bestaan bekend en nog geen tekst: een Quantum Act (gepland voor het tweede kwartaal van 2026, op 10 oktober 2026 nog altijd niet voorgesteld en naar verluidt in gevaar om naar 2027 door te schuiven), verder werk aan AI in de wetenschap en de voortgaande uitrol van de Europese ruimte voor gezondheidsgegevens. Daar komt de al jaren slepende verordening over seksueel misbruik van kinderen bij, meestal chatcontrole genoemd, die keer op keer strandt op het scannen op het apparaat zelf en waarover nog altijd geen akkoord is.

Houd deze op de radar, meer niet. Weten dat ze eraan komen is iets waard. Er nu al omheen ontwerpen niet.

Wat de andere kant op is gegaan

Het loont te weten wat is ingetrokken of naar de achtergrond geschoven, want veel van wat erover geschreven is, loopt achter.

De richtlijn AI-aansprakelijkheid is ingetrokken. De ePrivacyverordening, die jarenlang geen kant op kwam, is losgelaten en het onderwerp loopt nu via de Digital Omnibus. De richtlijn groene claims heeft een moeizaam traject achter de rug en de eindvorm ligt nog niet vast, al geldt de richtlijn consumentenversterking hoe dan ook sinds 27 september 2026.

Vereenvoudiging is inmiddels een expliciet politiek thema. Dat betekent niet dat er in totaal minder wordt gereguleerd, maar het betekent wel dat sommige dossiers worden samengevoegd in plaats van erbij te komen.

Hoe u hier iets aan hebt zonder tijd te verspillen

De verleiding bij zo'n lijst is een tracker op te zetten en aan elke regel een eigenaar te hangen. Daar houdt u een spreadsheet aan over.

Wat wel werkt:

Sorteer op de vraag of er een ontwerpbeslissing nodig is. Toestemmingsarchitectuur, het omgaan met identiteiten en attesten, abstractie van de betaalmethode en interfaces voor gegevenstoegang zijn duur om er achteraf in te bouwen. Meldprocessen en documentatie niet. Alleen die eerste categorie rechtvaardigt dat u vóór de aanneming al in beweging komt.

Zoek naar de gedeelde fundering. Goed opgezette toestemmingsinfrastructuur vangt de wijzigingen uit de Digital Omnibus op. Attestverificatie die u voor de identiteitswallet bouwt, dekt grotendeels ook de bedrijfswallet. Abstractie van de betaalmethode bedient instantbetalingen, Wero en de digitale euro even goed. Drie dossiers, één stuk platformwerk.

Kijk naar mandaten, niet naar voorstellen. Zodra Raad en Parlement allebei een positie publiceren, is de overlap de veilige zone. Dat is het moment om te gaan bouwen, niet de dag waarop een voorstel verschijnt.

Leg vast wat u besloot en wanneer. De meeste van deze regimes verwachten dat u uw redenering kunt uitleggen. Een kort gedateerd architectuurbesluit is meer waard dan een lang beleidsdocument dat achteraf is geschreven.

Waar wij in beeld komen

Wij bouwen en onderhouden software voor bedrijven die in Europa actief zijn, en dat betekent steeds vaker systemen bouwen die veranderende regelgeving kunnen opvangen zonder herschrijving. Dat werk is weinig spectaculair: abstractie op de juiste scheidslijnen, expliciete toestanden, en configuratie op de plekken waar de wetgever een getal bewust aanpasbaar heeft gelaten.

Wilt u weten welke van deze dossiers een specifiek product werkelijk raken, schrijf dan naar office@c9group.dev. De regels die al gelden staan in kaart in onze gids voor EU-digitale naleving 2026, en meer over ons Europese werk vindt u op de pagina EU-markttoetreding.

Wij zijn ingenieurs, geen juristen, en dit is een planningskaart en geen juridisch advies. Alles hierboven kan nog schuiven tot het in het Publicatieblad staat.