EU:s digitala regelefterlevnad 2026: reglerna som nu når in i din kodbas

I ungefär sju år var dataskyddsförordningen (GDPR) den enda europeiska förordning som varje produktteam kände till vid namn. Om du drev en webbplats som berörde europeiska användare lärde du dig om rättsliga grunder, byggde en cookiebanner, skrev personuppgiftsbiträdesavtal och gick vidare.

Den eran är över. Mellan 2024 och 2028 har EU levererat en hel stapel digitala förordningar som var för sig är lika krävande som GDPR var, och tillsammans betydligt mer ingripande. Skillnaden är att de nya reglerna inte stannar vid integritetspolicyn. De når in i ditt kassaflöde, ditt komponentbibliotek, din process för incidenthantering, din programvaruförteckning (SBOM) och din produktdatamodell.

Vi bygger och underhåller programvara för företag som verkar i Europa, och vi lägger en stor del av veckan på att översätta de här skyldigheterna till ärenden. Det här är vår arbetskarta över vad som gäller nu, vad som kommer härnäst och vad allt det faktiskt betyder för dem som skriver koden.

Varför den här vågen känns annorlunda

GDPR var i huvudsak horisontell. En förordning, en uppsättning principer, tillämpade på alla som behandlar personuppgifter. Vågen 2024 till 2028 är vertikal och överlappande. Ett enda medelstort e-handelsföretag som säljer uppkopplade hemenheter i Tyskland och Frankrike kan nu befinna sig inom tillämpningsområdet för minst åtta separata regelverk samtidigt, vart och ett med egen tillsynsmyndighet, egen deadline och egen definition av vem som räknas som ansvarig.

Det får tre praktiska följder.

För det första är regelefterlevnad inte längre något du kan skruva på strax före lansering. Flera av reglerna kräver designbeslut, och ett designbeslut som fattas dåligt i månad två kostar en ombyggnad i månad tjugo.

För det andra betyder de tekniska artefakterna mer än pappersarbetet. Tillsynsmyndigheter ber allt oftare om maskinläsbara bevis: en programvaruförteckning, en bedömning av överensstämmelse, en tillgänglighetsredogörelse, ett register över samtycken, en tidslinje för en incident. Ingen imponeras av ett policydokument som beskriver en kontroll som inte finns i systemet.

För det tredje är deadlines förskjutna, och en del har flyttats. Efter paketet Digital Omnibus som föreslogs i november 2025 sköts delar av AI-förordningen (AI Act) upp medan andra delar stannade exakt där de var. Team som läste en rubrik och slutade där planerar nu mot fel datum.

Det här gäller redan

GDPR, fortfarande grunden

Inget i den nya vågen ersätter dataskyddsförordningen. Den är fortfarande grundlagret, och det är fortfarande därifrån de största böterna kommer. Om din datamodell, dina gallringsjobb och din process för registerutdrag är svaga ärver allt som byggs ovanpå den svagheten. Vi har skrivit en separat genomgång med ingenjörsfokus i vår praktiska GDPR-guide för webbplatser.

Tillgänglighetsdirektivet (European Accessibility Act)

Direktiv 2019/882 började tillämpas den 28 juni 2025, och tillsynen trappades upp under 2026. Det omfattar e-handel riktad till konsumenter, banktjänster, biljetter för persontransporter, telekom, e-böcker med mera. Det tekniska riktmärket är EN 301 549. Version 4.1.1, publicerad i september 2026, flyttar den till WCAG 2.2, men tills kommissionen hänvisar till den i EUT är referensen för presumtion om överensstämmelse fortfarande v3.2.1, som motsvarar WCAG 2.1 nivå AA.

Det här överraskar många eftersom det inte är en dokumentationsövning. Det kräver verkliga ändringar i markup, fokushantering, färgkontrast, felhantering i formulär och tangentbordsnavigering. En fransk domstol har redan ålagt Carrefour att uppnå efterlevnad vid vite per dag. Detaljerna finns i vår guide till tillgänglighetsdirektivet.

Dataförordningen (Data Act)

Förordning 2023/2854 började tillämpas den 12 september 2025. Den ger användare rätt till de data som deras uppkopplade produkter genererar, och den tvingar molnleverantörer att göra byte av leverantör realistiskt snarare än teoretiskt. Sedan 12 september 2026 måste uppkopplade produkter och tillhörande tjänster som släpps ut på marknaden vara utformade så att data är tillgängliga som standard, vilket är ett arkitekturkrav snarare än ett juridiskt. Se vår genomgång av dataförordningen.

NIS2

Medlemsstaterna har införlivat NIS2 i mycket olika takt. Tyskland öppnade sin registreringsportal den 6 januari 2026, Nederländerna satte sin lag i kraft den 15 augusti 2026, och andra länder håller fortfarande på att komma ikapp. Om du omfattas är du skyldig att rapportera incidenter inom 24 timmar, och du är skyldig dina kunder bevis på att du hanterar riskerna i leveranskedjan. Vår praktiska guide till NIS2 täcker den praktiska sidan.

Verification of Payee

Sedan 9 oktober 2025 har betaltjänstleverantörer i euroområdet varit skyldiga att erbjuda en kostnadsfri kontroll av att betalningsmottagarens namn stämmer med IBAN innan en överföring bekräftas. För alla som bygger betalnings- eller utbetalningsflöden innebar det ett nytt steg före bekräftelsen och en ny uppsättning lägen för nästan-matchningar att hantera i gränssnittet. Vi har skrivit om det i omedelbara betalningar och Verification of Payee.

Milstolparna 2026

2 augusti 2026: transparens enligt AI-förordningen

Skyldigheterna i artikel 50 gäller nu. Om din produkt pratar med användare via en chattbot måste du tala om för dem att de pratar med en maskin. Om den genererar syntetiskt ljud, bilder, video eller text måste resultatet märkas på ett maskinläsbart sätt. En ytterligare del, med detaljer om vattenmärkning och ett förbud mot verktyg som skapar nakenbilder, följer den 2 december 2026.

De tyngre skyldigheterna för högrisksystem flyttades. Fristående system enligt bilaga III har nu till 2 december 2027, och AI som är inbyggd i reglerade produkter till 2 augusti 2028. Det är ett verkligt anstånd, men bara för högrisknivån. Hela genomgången finns i vår artikel om transparens enligt AI-förordningen.

11 september 2026: rapportering enligt Cyber Resilience Act

Sedan 11 september 2026 måste tillverkare av produkter med digitala element rapportera aktivt utnyttjade sårbarheter och allvarliga incidenter via en gemensam rapporteringsplattform för EU. Tidig varning inom 24 timmar, fullständig anmälan inom 72 timmar, slutrapport inom 14 dagar. Du kan inte hålla en klocka på 24 timmar utan att veta vad som finns i din produkt, och därför bygger team pipelines för SBOM ett år innan det formella SBOM-kravet börjar gälla. Se guiden till CRA.

12 september 2026: designskyldigheter enligt dataförordningen

Kravet på utformning för åtkomst gäller nu för produkter som släpps ut på marknaden.

27 september 2026: direktivet om att stärka konsumenternas ställning (Empowering Consumers)

Sedan 27 september 2026 har generella miljöpåståenden förlorat sitt rättsliga skydd, hållbarhetsmärkningar måste verifieras, och ett harmoniserat meddelande och en harmoniserad märkning för kommersiella garantier måste synas i köpflödet. Det är en ändring av innehåll och mallar på produktsidor, kategorisidor och i kassan. Täcks i miljöpåståenden och regelefterlevnad för produktdata.

24 december 2026: EU:s digitala identitetsplånbok

Varje medlemsstat måste tillhandahålla minst en plånbok. Förlitande parter som är skyldiga att acceptera den, bland annat banker, transport, energi, hälsa och telekom, måste göra det från december 2027. Om du vill vara tidigt ute måste du registrera dig som förlitande part och stödja plånbokens format för intyg. Vår guide till integration av EUDI-plånboken förklarar vad det innebär.

Det som fortfarande är i rörelse

Två ärenden är värda att bevaka utan att du överplanerar kring dem.

Digital Omnibus, så som kommissionen föreslog den, skulle föra in reglerna om samtycke till cookies i själva GDPR, genom föreslagna artiklar 88a och 88b. De stora ändringarna är att godkänna eller avböja med ett enda klick, en regel mot att fråga användare som tackat nej igen inom sex månader, och rättsligt bindande maskinläsbara samtyckessignaler. Rådets kompromisstext från 2 oktober 2026 går en annan väg: den behåller cookiereglerna i ePrivacy-direktivet, stryker de bindande webbläsarsignalerna och kortar väntetiden till fyra månader. Per den 10 oktober 2026 hade rådet inte antagit sitt mandat, parlamentet hade ingen ståndpunkt och trilogerna hade inte börjat. Inget är slutgiltigt, och vi skulle inte bygga om en samtyckesplattform under antagandet att förslaget går igenom oförändrat, men riktningen är tydlig nog för att påverka hur du designar en. Läs vår tolkning i samtycke till cookies efter Digital Omnibus.

Digital Fairness Act är fortfarande på förslagsstadiet, väntas sent under 2026 och riktar sig rakt mot dark patterns, personaliserad prissättning och beroendeframkallande design. Realistiskt sett börjar den gälla någon gång mellan 2028 och 2030. Den spelar roll redan nu bara för att den visar vilka gränssnittsmönster som lever på lånad tid.

Betalningslagret som ingen planerade för

Det finns ytterligare ett skifte som inte alls är en förordning, men som beter sig som en på grund av hur snabbt det sprider sig i europeiska kassor.

Wero, plånboken som byggts av European Payments Initiative, gick från överföringar mellan privatpersoner till e-handel under 2025 och 2026. Den avräknas via SEPA Instant Credit Transfer på ungefär tio sekunder och går helt förbi kortnätverken. Lidl meddelade stöd på lidl.de i juli 2026, med acceptans i butik och i de belgiska och franska webbutikerna senare under året. Decathlon, Rossmann, Hornbach, Eventim och andra är redan i drift.

Ingen är skyldig enligt lag att acceptera Wero. Men när en lågpriskedja med Lidls räckvidd lägger till en betalmetod brukar resten av en marknad följa efter, och integrationen är inte gratis: den landar i din kassa, din tillståndsmaskin för order, din logik för återbetalningar och din avstämning. Vi har skrivit om det i guiden till integration av Wero.

Så lägger du ordningen utan att förlora ett kvartal

Instinkten är att starta ett compliancespår och försöka stänga allt. Det ger oftast ett kalkylark och väldigt lite levererad kod. Det som enligt vår erfarenhet fungerar bättre:

Börja med tillämpningsområdet, ärligt. De flesta av reglerna har tröskelvärden, undantag och definitioner som väsentligt ändrar vad du är skyldig att göra. Ett mikroföretag som tillhandahåller tjänster står utanför stora delar av tillgänglighetsdirektivet. Ett företag som inte tillverkar produkter med digitala element står utanför CRA. En halvtimme med de faktiska artiklarna om tillämpningsområde sparar månader.

Hitta överlappen och bygg en gång. Tillgänglighetsarbete enligt EAA förbättrar också tydlighetskraven i AI-förordningens transparensregler. Infrastruktur för samtycke som byggts för GDPR bär det mesta av lasten för ändringarna i Digital Omnibus. En SBOM-pipeline som byggts för CRA besvarar en stor del av frågorna om leveranskedjan enligt NIS2. Behandla det som gemensamt plattformsarbete, inte som tolv separata projekt.

Åtgärda först det som kräver designbeslut. Dataåtkomst som standard, acceptans av intyg, tillgänglighetssemantik och arkitektur för samtycke är dyra att bygga om i efterhand. Rapporteringsflöden och dokumentation är det inte. Lägg ordningen därefter.

Skriv ned vad du beslutade och varför. De flesta av regelverken förväntar sig att du kan förklara ditt resonemang, inte bara visa en grön bock. Ett kort arkitekturbeslut slår en lång policy-PDF.

Var vi passar in

Vi är ett mjukvaruföretag, inte en advokatbyrå, och det säger vi rakt ut till varje kund. Vi lämnar inga juridiska utlåtanden. Det vi gör är att ta den tolkning som ditt juridiska team har landat i och omvandla den till fungerande system: samtyckesplattformar, tillgängliga komponentbibliotek, API:er för dataåtkomst, SBOM-pipelines, integrationer med plånböcker, betalflöden och den tråkiga infrastrukturen under alltihop.

Våra team arbetar från Ljubljana och Novi Sad, inne i den regelmiljö vi beskriver, vilket betyder att vi hanterar de här deadlines även för våra egna produkter.

Om du försöker reda ut vilka av reglerna som faktiskt gäller för dig, eller om du har ett datum i kalendern och ingen plan bakom det, hör av dig till office@c9group.dev. Du kan också läsa mer om hur vi stöttar företag som etablerar sig eller växer i Europa på vår sida om etablering på den europeiska marknaden.