EU:s digitala lagstiftning på väg: vad som kommer efter 2026 års deadlines

Det mesta som skrivs om regelefterlevnad handlar om regler som redan gäller. Det är användbart inför nästa revision men värdelöst för planeringen, eftersom de dyra besluten är arkitektoniska, och arkitekturen läggs fast arton månader före en deadline.

Det här är den andra halvan av bilden: vad som just nu är på väg genom EU:s lagstiftningsmaskineri, ungefär när det landar och vilket av det som faktiskt bör påverka vad du bygger i dag.

En varning redan nu. Förslag ändras, en del dör och datum skjuts upp. Inget här är ett skäl att bygga mot en text som inte har antagits. Det är ett skäl att undvika att bygga något som en uppenbart kommande regel kommer att göra dyrt.

Så läser du stadierna

EU-lagstiftning går igenom förutsägbara stadier, och var ett ärende befinner sig säger dig hur mycket du kan lita på det.

Aviserat i arbetsprogrammet. Kommissionen har sagt att den tänker lägga fram något. Ingen text. Användbart som riktning, inget mer.

Förslaget publicerat. Det finns en text. Den kommer att ändras, ofta väsentligt, men formen och definitionerna syns nu.

Rådets allmänna riktlinje och parlamentets mandat. Båda medlagstiftarna har ståndpunkter. Förhandlingsutrymmet syns nu: det som båda sidor är överens om kommer med stor sannolikhet att överleva.

Trilog. Förhandlingar bakom stängda dörrar mellan parlamentet, rådet och kommissionen. Resultatet hamnar oftast någonstans mellan de två mandaten.

Politisk överenskommelse, sedan formellt antagande, sedan ikraftträdande, sedan tillämpning. Tiden mellan antagande och tillämpning är när du faktiskt gör jobbet, och den är normalt arton månader till tre år.

Den praktiska regeln: när båda medlagstiftarna har publicerat sina mandat är de delar de är överens om säkra att planera efter. Innan dess: behandla allt som en riktning.

Under förhandling nu

Digital Omnibus

Det största förenklingspaketet i den nuvarande cykeln, föreslaget i november 2025. Det berör dataskyddsförordningen (GDPR), AI-förordningen (AI Act), dataförordningen (Data Act), ePrivacy och rapportering inom cybersäkerhet. AI-förordningsdelen bröts ut och är redan lag: förordning (EU) 2026/1744, i kraft sedan 27 juli 2026.

De delar som betyder mest för produktteam är kommissionens föreslagna artiklar 88a och 88b. De skulle flytta reglerna om samtycke till cookies från ePrivacy-direktivet in i själva GDPR, bredda undantagen där inget samtycke krävs, införa en karenstid på sex månader efter ett avböjande och göra maskinläsbara samtyckessignaler på webbläsarnivå rättsligt bindande.

Halvan som gäller GDPR och ePrivacy har inte nått trilog. Per den 10 oktober 2026 har rådet inget förhandlingsmandat (en omröstning bland EU-ambassadörerna som var planerad till 7 oktober sköts upp, enligt uppgift till 11 oktober), och parlamentets utskott arbetar fortfarande igenom fler än 1 750 ändringsförslag till sitt förslag till betänkande från juni 2026. Rådets kompromisstext behåller cookiereglerna i ePrivacy-direktivet, stryker artiklarna 88a och 88b och kortar väntetiden efter ett avböjande till fyra månader. Det är fortfarande den enskilt mest sannolika förändringen på kort sikt av hur samtycke fungerar i praktiken, och vi har gått igenom vår tolkning i samtycke till cookies efter Digital Omnibus.

Vem det berör: alla som driver en plattform för samtyckeshantering, webbanalys, annonsering eller personalisering.

Paketet om den digitala euron

Rådets ståndpunkt i december 2025, mandatet från parlamentets utskott godkänt med 43 röster mot 14, trilogerna inleddes i juli 2026, och alla tre institutionerna siktar på att bli klara under 2026. ECB:s pilot pågår från andra halvåret 2027 med målet att ge ut den första digitala euron 2029.

Alla detaljer finns i vår guide till införandet av den digitala euron.

Vem det berör: banker, betaltjänstleverantörer, e-handelsplattformar och leverantörer av kassasystem.

Financial Data Access, kallad FiDA

Ärendet om öppen finans. Det utvidgar dataåtkomst i open banking-stil bortom betalkonton till investeringar, pensioner, försäkringar och bolån, och skapar en ny reglerad kategori: leverantörer av finansiella informationstjänster.

FiDA har haft den mest besvärliga resan av allt på den här listan. Trilogerna gjorde få synliga framsteg efter mitten av 2025, och i april 2026 skickade kommissionen ett icke-papper till rådet med förslag om ett snävare tillämpningsområde för att få fart på dem igen. Tillämpningen skulle ske i etapper och blir realistiskt sett inte aktuell före slutet av årtiondet.

Vem det berör: fintech, insurtech, förmögenhetsplattformar och alla vars produkt skulle tjäna på behörighetsstyrd åtkomst till finansiell data utöver transaktionskonton.

Överenskommet men ännu inte tillämpligt

PSD3 och betaltjänstförordningen

Rådet och parlamentet nådde en preliminär politisk överenskommelse om ramverket för betalningar den 27 november 2025. Det är översynen av PSD2: skärpta skyldigheter att förebygga bedrägerier, en bredare ansvarsfördelning för vissa typer av bedrägerier, bland annat bedrägerier där någon utger sig för att vara någon annan, ändringar i stark kundautentisering, prestandakrav på gränssnitt för open banking och en sammanslagning av regelverken för betalningsinstitut och institut för elektroniska pengar.

De överenskomna texterna har ännu inte publicerats i EUT. Per den 10 oktober 2026 visar parlamentets förfarandeakt att de väntar på rådets formella ståndpunkt vid första behandlingen, med en slutlig omröstning i plenum preliminärt satt till 14 december 2026. Eftersom det är en förordning plus ett direktiv gäller en del direkt och en del måste införlivas. Räkna med tillämpning mot slutet av årtiondet snarare än omedelbart.

Vem det berör: varje produkt som initierar betalningar, förvaltar kundmedel eller använder API:er för open banking.

Föreslaget, ståndpunkter tar form

European Business Wallet

Föreslagen som företagens motsvarighet till EU:s digitala identitetsplånbok. Där EUDI-plånboken innehåller en persons intyg innehåller företagsplånboken ett företags: registreringsuppgifter, fullmakter, behörighet att företräda, certifikat och möjligheten att utbyta signerade dokument över gränserna.

Rådet antog sin förhandlingsståndpunkt den 9 juni 2026, och parlamentets ITRE-utskott antog sitt betänkande och ett förhandlingsmandat den 10 september 2026, så trilogerna kan börja. Ambitionen är en politisk överenskommelse före utgången av 2026. Kommissionen föreslog att offentliga organ ska acceptera företagsplånböcker inom 24 månader från ikraftträdandet; rådets text ersätter den fristen med en senare: två år efter att de sista genomförandeakterna börjar tillämpas.

Detaljer i vår guide till European Business Wallet.

Vem det berör: alla som bygger kundregistrering mellan företag, upphandling, leverantörskontroll, e-fakturering eller reglerade affärsprocesser.

Cloud and AI Development Act

En flaggskeppsfråga i kommissionens agenda för teknisk suveränitet, föreslagen den 3 juni 2026 som COM(2026) 502. Den omfattar forskning och innovation, snabbare tillståndsprövning för datacenter (det uttalade målet är att minst tredubbla EU:s datacenterkapacitet till 2030) och ett gemensamt EU-ramverk med fyra nivåer av suveränitetssäkring för molntjänster. Offentliga upphandlare skulle behöva upphandla minst nivå 1, och nivå 2 till 4 för verksamhet som har betydelse för allmän ordning.

Underliggande handlar det om beroendet av molnleverantörer utanför Europa, och den mekanism som mest sannolikt får verklig verkan är offentlig upphandling snarare än direkt reglering av privata köpare.

Detaljer i vår guide till Cloud and AI Development Act.

Vem det berör: molnleverantörer, alla som säljer programvara till offentliga köpare i Europa och alla vars arkitektur förutsätter en enda hyperscaler.

Digital Networks Act

Lades fram i januari 2026 efter flera uppskjutningar. Den skriver om styrningen av telekomområdet: harmonisering av frekvenser, den inre marknaden för elektronisk kommunikation, säkerhetsstandarder för nät och den långvariga striden om huruvida stora trafikgenererande aktörer ska bidra till nätkostnaderna.

Vem det berör: teleoperatörer, CDN- och konnektivitetsleverantörer och varje tjänst vars ekonomi bygger på billig transit.

Digital Fairness Act

Planerad till fjärde kvartalet 2026, alltså ett förslag snarare än en lag under en tid framöver. Den riktar sig rakt mot dark patterns, beroendeframkallande design, influencermarknadsföring och personaliseringsmetoder som utnyttjar konsumenters sårbarhet, inklusive personaliserad prissättning.

Den här förtjänar uppmärksamhet långt innan den börjar gälla, eftersom den riktar sig mot gränssnittsmönster som många produkter i dag är beroende av för sin konvertering. Detaljer i vår guide till Digital Fairness Act.

Vem det berör: alla slags konsumentprodukter, särskilt prenumerationer, spel, marknadsplatser och sociala tjänster.

Översynen av Chips Act

Kommissionen föreslog en Chips Act 2.0 den 3 juni 2026 (COM(2026) 504), som skulle upphäva och ersätta 2023 års Chips Act. Den första Chips Act sågs allmänt som för svag i förhållande till sina ambitioner. Den nya texten lägger till krisverktyg, bland annat prioriterade order för kritiska sektorer, vid sidan av stöd till produktionsanläggningar och design. Finansieringssidan finns i vår guide till finansiering enligt Chips Act.

Vem det berör: halvledar- och hårdvaruföretag och alla som följer pengarna i EU:s industripolitik.

Reformen av offentlig upphandling

Kommissionen föreslog en Public Procurement Act den 9 september 2026 (COM(2026) 590). Den skulle ersätta de tre upphandlingsdirektiven från 2014 med en enda förordning och lägga till ett ramverk för europeisk preferens som låter offentliga upphandlare begränsa deltagandet eller gynna EU-ursprung inom strategiska områden. Om du säljer till offentliga köpare i Europa är upphandlingsreglerna den mekanism genom vilken förvånansvärt mycket teknikpolitik faktiskt når dig.

Vem det berör: alla med intäkter från den offentliga sektorn i Europa.

Aviserat, fortfarande utan form

Flera initiativ har signalerats utan någon text: en Quantum Act (planerad till andra kvartalet 2026, fortfarande inte framlagd den 10 oktober 2026 och enligt uppgift i risk att glida in i 2027), fortsatt arbete med AI inom vetenskapen och fortsatt arbete med utrullningen av det europeiska hälsodataområdet. Därtill finns den långvariga förordningen om sexuella övergrepp mot barn, ofta kallad chat control, som gång på gång har kört fast i frågan om skanning på klientsidan och fortfarande är olöst.

Se dem som saker att ha på radarn. Att veta att de finns är värt något. Att designa efter dem är det inte.

Det som har gått åt andra hållet

Det är värt att veta vad som har dragits tillbaka eller nedprioriterats, eftersom mycket av det som publicerats inte har hunnit ikapp.

Direktivet om skadeståndsansvar för AI drogs tillbaka. ePrivacy-förordningen, som i åratal inte kom någonstans, övergavs, och dess sakområde hanteras i stället genom Digital Omnibus. Direktivet om miljöpåståenden (Green Claims) har haft en svår resa och dess slutliga form är inte fastslagen, men det närliggande direktivet om att stärka konsumenternas ställning (Empowering Consumers) har gällt sedan 27 september 2026 ändå.

Förenkling är nu ett uttalat politiskt tema. Det betyder inte mindre reglering totalt sett, men det betyder att vissa ärenden slås ihop snarare än läggs till.

Så använder du det här utan att slösa kraft

Frestelsen med en lista som den här är att bygga en uppföljning och ge varje rad en ägare. Det ger ett kalkylark.

Det som faktiskt fungerar:

Sortera efter om det kräver ett designbeslut. Arkitektur för samtycke, hantering av identitet och intyg, abstraktion av betalmetoder och gränssnitt för dataåtkomst är dyra att bygga om i efterhand. Rapporteringsprocesser och dokumentation är det inte. Bara den första kategorin motiverar att du agerar före antagandet.

Leta efter den gemensamma grunden. En väl byggd infrastruktur för samtycke tjänar ändringarna i Digital Omnibus. Verifiering av intyg som byggts för EUDI-plånboken tjänar till stor del företagsplånboken. Abstraktion av betalmetoder tjänar omedelbara betalningar, Wero och den digitala euron lika mycket. Tre ärenden, ett plattformsarbete.

Följ mandaten, inte förslagen. När rådet och parlamentet båda har publicerat ståndpunkter är överlappet den säkra zonen. Det är då du börjar bygga, inte den dag ett förslag publiceras.

Skriv ned vad du beslutade och när. De flesta av de här regelverken förväntar sig att du kan förklara ditt resonemang. Ett kort arkitekturbeslut med datum slår ett policydokument som skrivs i efterhand.

Var vi passar in

Vi bygger och underhåller programvara för företag som verkar i Europa, vilket allt oftare betyder att bygga system som kan ta emot regeländringar utan att skrivas om. Arbetet är mestadels oglamoröst: abstraktion i rätt skarvar, explicit tillstånd och konfiguration där lagen avsiktligt har lämnat en siffra justerbar.

Om du vill ha en bedömning av vilka av de här ärendena som faktiskt berör en viss produkt, skriv till office@c9group.dev. De regler som redan gäller finns kartlagda i vår guide till EU:s digitala regelefterlevnad 2026, och mer om vårt arbete i Europa finns på sidan om etablering på EU-marknaden.

Vi är ingenjörer, inte jurister, och det här är en planeringskarta snarare än juridisk rådgivning. Allt ovan är ett rörligt mål tills det står i EUT.