EU digital etterlevelse i 2026: reglene som nå går helt inn i koden

I omtrent syv år var GDPR den ene europeiske reguleringen som ethvert produktteam kjente ved navn. Drev du et nettsted som berørte europeiske brukere, lærte du om behandlingsgrunnlag, bygde en cookiebanner, signerte databehandleravtaler og gikk videre.

Den tiden er forbi. Mellom 2024 og 2028 leverer EU en stabel med digitale regelverk som hver for seg er like krevende som GDPR var, og samlet langt mer inngripende. Forskjellen er at disse nye reglene ikke stopper ved personvernerklæringen. De rekker inn i kassen din, komponentbiblioteket, hendelseshåndteringen, programvarens komponentliste og produktdatamodellen.

Vi bygger og vedlikeholder programvare for selskaper som opererer i Europa, og vi bruker en god del av uka på å oversette disse pliktene til oppgaver. Dette er vårt arbeidskart: hva som gjelder nå, hva som kommer neste, og hva alt dette faktisk betyr for folk som skriver kode.

Hvorfor denne bølgen er annerledes

GDPR var stort sett horisontal. Én forordning, ett sett prinsipper, gjeldende for alle som behandler personopplysninger. Bølgen fra 2024 til 2028 er vertikal og overlappende. Et mellomstort netthandelsselskap som selger tilkoblede enheter i Tyskland og Frankrike kan i dag falle inn under minst åtte separate regelverk samtidig, hvert med sin tilsynsmyndighet, sin frist og sin definisjon av hvem som er ansvarlig.

Tre praktiske konsekvenser følger av dette.

For det første kan ikke etterlevelse lenger skrus på rett før lansering. Flere av disse reglene krever designbeslutninger, og en dårlig designbeslutning i måned to koster en ombygging i måned tjue.

For det andre teller de tekniske artefaktene mer enn papirarbeidet. Tilsynsmyndigheter ber i økende grad om maskinlesbare bevis: en programvarekomponentliste, en samsvarsvurdering, en tilgjengelighetserklæring, en samtykkelogg, en hendelsestidslinje. Ingen blir imponert av et policydokument som beskriver en kontroll som ikke finnes i systemet.

For det tredje er fristene trinnvise, og noen har flyttet seg. Etter Digital Omnibus-pakken som ble foreslått i november 2025, ble deler av KI-forordningen utsatt mens andre deler ble stående nøyaktig der de var. Team som leste én overskrift og stoppet der, planlegger nå mot feil datoer.

Hva som gjelder akkurat nå

GDPR, fortsatt fundamentet

Ingenting i den nye bølgen erstatter personvernforordningen. Den forblir grunnlaget, og det er fortsatt derfra de største bøtene kommer. Er datamodellen, sletterutinene og innsynsprosessen svak, arver alt som bygges oppå den svakheten. Vi har skrevet en egen, ingeniørrettet veiledning: vår praktiske GDPR-guide for nettsteder.

Det europeiske tilgjengelighetsdirektivet

Direktiv 2019/882 har gjeldt siden 28. juni 2025, og håndhevingen tiltok gjennom 2026. Det dekker forbrukerrettet netthandel, banktjenester, billettering i transport, telekom, e-bøker og mer. Den tekniske målestokken er EN 301 549, som i dag tilsvarer WCAG 2.1 nivå AA, med en revisjon mot WCAG 2.2 ventet.

Dette overrasker folk fordi det ikke er en dokumentasjonsøvelse. Det krever reelle endringer i markup, fokushåndtering, fargekontrast, feilhåndtering i skjemaer og tastaturnavigasjon. En fransk domstol har allerede pålagt Carrefour å oppnå samsvar under daglig tvangsmulkt. Detaljer i vår guide til tilgjengelighetsdirektivet.

Data Act

Forordning 2023/2854 har gjeldt siden 12. september 2025. Den gir brukere rett til dataene deres tilkoblede produkter genererer, og tvinger skyleverandører til å gjøre bytte realistisk i stedet for teoretisk. Fra 12. september 2026 må tilkoblede produkter og tilhørende tjenester som nylig bringes på markedet, være utformet slik at data er tilgjengelig som standard, noe som er et arkitekturkrav og ikke et juridisk. Se vår Data Act-gjennomgang.

NIS2

Medlemsstatene har gjennomført NIS2 i svært ulikt tempo. Tyskland åpnet registreringsportalen 6. januar 2026, Nederland satte loven i kraft 15. august 2026, og andre land henger fortsatt etter. Er du omfattet, skylder du varsler på en 24-timers klokke, og du skylder kundene dine bevis for at du håndterer leverandørkjederisiko. Vår NIS2-praksisguide dekker den operative siden.

Mottakerkontroll

Siden 9. oktober 2025 har betalingstjenestetilbydere i euroområdet måttet tilby gratis kontroll av at mottakernavnet stemmer med IBAN før en overføring bekreftes. For dem som bygger betalings- eller utbetalingsflyter, la dette til et steg før bekreftelse og et nytt sett med nesten-treff-tilstander å håndtere i grensesnittet. Vi dekket det i straksbetalinger og mottakerkontroll.

Hva som kommer de neste tolv månedene

2. august 2026: åpenhet i KI-forordningen

Pliktene i artikkel 50 gjelder nå. Snakker produktet ditt med brukere gjennom en chatbot, må du fortelle dem at de snakker med en maskin. Genererer det syntetisk lyd, bilder, video eller tekst, må resultatet merkes maskinlesbart. Ytterligere en del, inkludert detaljer om vannmerking og et forbud mot avkledningsapper, følger 2. desember 2026.

De tyngre høyrisikopliktene har flyttet seg. Frittstående systemer i vedlegg III har nå frist til 2. desember 2027, og KI innebygd i regulerte produkter til 2. august 2028. Det er en reell pusterom, men bare for høyrisikonivået. Full gjennomgang i vår artikkel om KI-åpenhet.

11. september 2026: rapportering etter Cyber Resilience Act

Produsenter av produkter med digitale elementer må rapportere aktivt utnyttede sårbarheter og alvorlige hendelser via én EU-plattform. Tidligvarsel innen 24 timer, full melding innen 72 timer, sluttrapport innen 14 dager. Du klarer ikke en 24-timers klokke uten å vite hva som er i produktet ditt, og derfor bygger team SBOM-løyper et år før den formelle plikten. Se CRA-guiden.

12. september 2026: designplikter i Data Act

Kravet om å designe for datatilgang biter for produkter som nylig bringes på markedet.

27. september 2026: direktivet om styrking av forbrukere

Generelle miljøpåstander mister sin rettslige dekning, bærekraftsmerker må verifiseres, og en harmonisert opplysning og et merke om kommersielle garantier må vises i kjøpsløpet. Det er en innholds- og maleendring på produktsider, kategorisider og i kassen. Behandlet i miljøpåstander og produktdata.

24. desember 2026: EUs digitale identitetslommebok

Hver medlemsstat må gjøre minst én lommebok tilgjengelig. Forpliktede forlitende parter, blant dem banker, transport, energi, helse og telekom, må akseptere den fra desember 2027. Vil du akseptere tidlig, må du registrere deg som forlitende part og støtte lommebokens legitimasjonsformater. Vår EUDI-lommebokguide forklarer hva det innebærer.

Hva som fortsatt er i bevegelse

To saker er verdt å følge uten å planlegge for mye rundt dem.

Digital Omnibus ville flytte reglene om cookie-samtykke inn i selve GDPR, gjennom foreslåtte artikler 88a og 88b. Hovedendringene er godta eller avslå med ett klikk, en regel mot å spørre på nytt i seks måneder etter et avslag, og juridisk bindende maskinlesbare samtykkesignaler. Trilogforhandlingene gikk til midten av 2026. Ingenting er endelig, og vi ville ikke bygget en samtykkeplattform på nytt i troen på at teksten går uendret gjennom, men retningen er tydelig nok til å påvirke arkitekturen. Vårt syn står i cookie-samtykke etter Digital Omnibus.

Digital Fairness Act er fortsatt på forslagsstadiet, ventet mot slutten av 2026, og retter seg direkte mot mørke mønstre, personaliserte priser og avhengighetsskapende design. Realistisk gjelder den mellom 2028 og 2030. Den betyr noe nå bare fordi den viser hvilke grensesnittmønstre som lever på lånt tid.

Betalingslaget ingen planla for

Det er ett skifte til som ikke er en regulering i det hele tatt, men som oppfører seg som en fordi det sprer seg så raskt gjennom europeiske kassesider.

Wero, lommeboken bygget av European Payments Initiative, gikk fra overføringer mellom privatpersoner til netthandel i 2025 og 2026. Den gjør opp via SEPA straksbetaling på rundt ti sekunder og omgår kortordningene fullstendig. Lidl kunngjorde støtte på lidl.de i juli 2026, med aksept i butikk og de belgiske og franske nettbutikkene senere i året. Decathlon, Rossmann, Hornbach, Eventim og andre er allerede i drift.

Ingen er rettslig forpliktet til å akseptere Wero. Men når en lavpriskjede med Lidls rekkevidde legger til en betalingsmetode, følger resten av markedet gjerne etter, og integrasjonen er ikke gratis arbeid: den lander i kassen din, ordrestatusmaskinen, refusjonslogikken og avstemmingen. Vi skrev det opp i Wero-integrasjonsguiden.

Hvordan sekvensere dette uten å miste et kvartal

Instinktet er å åpne et etterlevelsesløp og prøve å lukke alt. Det gir vanligvis et regneark og svært lite levert kode. Det som fungerer bedre, etter vår erfaring:

Start ærlig med virkeområdet. De fleste av disse reglene har terskler, unntak og definisjoner som materielt endrer hva du skylder. En mikrobedrift som leverer tjenester faller utenfor store deler av tilgjengelighetsdirektivet. Et selskap som ikke produserer produkter med digitale elementer faller utenfor CRA. En halvtime med de faktiske virkeområdebestemmelsene sparer måneder.

Finn overlappene og bygg én gang. Tilgjengelighetsarbeid etter EAA forbedrer også klarhetskravene i KI-forordningens åpenhetsregler. Samtykkeinfrastruktur bygget for GDPR bærer det meste av endringene fra Digital Omnibus. En SBOM-løype bygget for CRA besvarer en god del av NIS2s leverandørkjedespørsmål. Behandle dette som felles plattformarbeid, ikke som tolv separate prosjekter.

Fiks først det som krever designbeslutninger. Datatilgang som standard, aksept av legitimasjoner, tilgjengelighetssemantikk og samtykkearkitektur er dyrt å ettermontere. Rapporteringsflyter og dokumentasjon er det ikke. Sekvenser deretter.

Skriv ned hva dere bestemte og hvorfor. De fleste av disse regimene forventer at dere kan forklare resonnementet, ikke bare vise en grønn hake. En kort arkitekturbeslutningslogg slår en lang policy-PDF.

Hvor vi passer inn

Vi er et programvareselskap, ikke et advokatfirma, og det sier vi rett ut til hver kunde. Vi gir ikke juridiske råd. Det vi gjør er å ta tolkningen juristene deres har landet på og gjøre den om til systemer som virker: samtykkeplattformer, tilgjengelige komponentbibliotek, datatilgangs-API-er, SBOM-løyper, lommebokintegrasjoner, betalingsflyter og all den kjedelige infrastrukturen under.

Teamene våre jobber fra Ljubljana og Novi Sad, inne i det regulatoriske miljøet vi beskriver, som betyr at vi håndterer disse fristene på våre egne produkter også.

Prøver du å finne ut hvilke av disse som faktisk gjelder deg, eller har du en dato i kalenderen uten plan bak, ta kontakt på office@c9group.dev. Du kan også lese mer om hvordan vi støtter selskaper som går inn i Europa på vår side om markedsinngang i EU.