I nesten et tiår har det vært utfordrende å drive virksomhet under EUs digitale lov, med DDPR, oppdateringer av ePrivacy, NUS2-direktivet, AI- og datalovene og andre som har kommet i rask rekkefølge. For organisasjoner som allerede investerer tungt i samsvarsrammeverk som CMMC, har utsiktene til å legge til enda et sett med krav vært et frustrerende arbeidslag.

Den digitale omnibusen, som formelt ble foreslått av EU-kommisjonen i november 2025 og nå behandles i Europaparlamentet og Rådet, er et omfattende forsøk på å samkjøre overlappende definisjoner, konsolidere rapporteringsforpliktelser og bringe sammenheng i det Kommisjonen selv har erkjent som regelverksmessig «rot». 

For selskaper som allerede har bygget samsvarsarkitekturer, kan denne omnibusen bidra til å gjøre kryssregeloverholdelse mye enklere. 

Hva er den digitale omnibusen for 2026?

Ocuco EUs digitale omnibus er en lovpakke introdusert av EU-kommisjonen 19. november 2025, med sikte på å forenkle og effektivisere Europas voksende samling av digitale regelverk. Her er hva den handler om:

Kommisjonen fremstiller det som et middel for å redusere dobbeltarbeid og regulatorisk friksjon, samtidig som de eksisterende rettighets- og håndhevingsrammeverkene formelt opprettholdes. I praksis foreslår pakken tekniske endringer på tvers av et bredt sett med digitale lover. Den består av to hoveddeler: én del som dekker det bredere rammeverket for digital databehandling (inkludert endringer i GDPR og e-personvern), og en annen del som fokuserer på KI-loven og relaterte tidslinjer, samsvar for små og mellomstore bedrifter og KI-kontorets fullmakter.

Hva er inkludert i den digitale omnibusen for 2026?

Det er flere områder der denne omnibusen endrer hvordan organisasjoner samhandler med regelverk i EU:

Ett enkelt kontaktpunkt for henvendelser

Selskaper utenfor EU har lenge slitt med den fragmenterte naturen til EUs regelverk: ulike direktiver for ulike myndigheter, som alle fungerer gjennom ulike portaler. Den digitale omnibusen introduserer en Enkelt inngangspunkt som en samlet kanal for regulatoriske henvendelser og hendelsesvarsler. I stedet for å koordinere med databeskyttelsesmyndighetene, Håndteringsteam for cybersikkerhetshendelser (CSIRT-er), og sektorspesifikke regulatorer, vil organisasjoner kunne samhandle gjennom et enkelt, konsolidert grensesnitt.

Mandatet for KI-leseferdigheter

Under strømmen AI-loven, leverandører og leverandører av AI-systemer må sørge for at de ansatte har et tilstrekkelig nivå av KI-kompetanse som definert i loven. Den digitale omnibusen foreslår å omformulere dette til en forpliktelse for Kommisjonen og medlemslandene til å oppmuntre til slike tiltak i stedet for å pålegge dem direkte.

Bedriftsledere er fortsatt juridisk ansvarlige for AI-verktøyene teamene deres bruker. Risikoen for skygge-AI er reell, økende og har konsekvenser for håndheving, og ledere i en gitt organisasjon er ikke fritatt fra å styre sine AI-systemer og beskytte data regulert under GDPR og relaterte forskrifter.

Slutten på 72-timers varslingskravet

I henhold til gjeldende GDPR, organisasjonene har 72 timer på seg til å varsle myndighetene av et brudd på personopplysninger. Den digitale omnibusen foreslår å utvide dette vinduet til 96 timer for hendelser med høy risiko.

Denne utvidelsen gir tekniske team tid til å fullføre rettsmedisinsk triage før den lovbestemte tiden utløper. Den reduserer hyppigheten av for tidlige eller ufullstendige varsler og justerer terskelen for varsling av brudd for tilsynsmyndigheter med den som allerede brukes til å varsle berørte personer.

Sentralisering av rapportering

Det sentrale kontaktpunktet er et massivt skifte i hvordan organisasjoner samhandler med regulatorer. I tillegg til dette slår den foreslåtte omnibusen også fast at én enkelt hendelsesrapport vil oppfylle varslingskravene i henhold til GDPR, 2 NOK (nettsikkerhet), og DORA (finansielle tjenester). Portalen, som skal opprettes i henhold til NIS2-direktivet og drives av ENISA, vil automatisk sende varsler til de aktuelle myndighetene.

For SOC-er og hendelsesresponsteam eliminerer dette behovet for å utarbeide og sende inn forskjellige rapporter til forskjellige regulatorer. 

• En arbeidsflyt med én innsending erstatter flere parallelle varslingsprosesser i henhold til GDPR, NIS2, DORA og sektorspesifikke forskrifter.
• Automatisert ruting sikrer at de rette myndighetene mottar riktig informasjon uten manuell koordinering.
• Harmoniserte innholdskrav reduserer risikoen for uoverensstemmelser mellom rapporter som sendes inn til ulike regulatorer.
• Enhetlige tidslinjer eliminerer behovet for å spore og administrere forskjellige varslingsfrister for samme hendelse.
• Reduserte koordineringskostnader frigjør hendelsesteam til å fokusere på inneslutning og utbedring i stedet for papirarbeid.

Omdefinering av personopplysninger for AI

Den digitale omnibusen introduserer en ny teknisk standard for pseudonymisering som fundamentalt kan endre hvordan organisasjoner håndterer dataklassifisering for AI-utvikling. I henhold til det foreslåtte rammeverket, hvis en organisasjon kan demonstrere at reidentifisering av pseudonymiserte data er «praktisk umulig» med dagens teknologi, kan disse dataene falle utenfor GDPRs virkeområde for visse formål, inkludert opplæring av AI-modeller.

Dette er et av de mest politisk sensitive forslagene i hele pakken. European Data Protection Board (EDPB) og European Data Protection Supervisor (EDPS) har begge kritisert utformingen og advart om at den risikerer å snevre inn begrepet personopplysninger betydelig. Rådets kompromisstekster antyder at denne bestemmelsen kan bli vesentlig revidert eller fjernet helt.

Opplæringsdata og «legitim interesse»

Utvikling av AI-modeller har vært en omstridt diskusjon under GDPR. Omnibus-rapporten avgjør denne samtalen ved å slå fast at utvikling og drift av AI-modeller er legitime interesser under GDPR. Dette gir den juridiske klarheten som organisasjoner har ønsket seg siden debatten om AI-opplæringsdata intensiverte seg i 2023 og 2024.

En ny artikkel (88c) i GDPR ville bekrefte at behandling av personopplysninger for AI-utvikling generelt kan foregå på grunnlag av legitim interesse, der det er hensiktsmessig. I tillegg ville et nytt vilkår i henhold til artikkel 9 tillate begrenset behandling av gjenværende spesialkategoridata (som helse- eller biometriske data) under AI-utvikling, forutsatt at organisasjonen implementerer passende tiltak for å forhindre at slike data inkluderes.

Organisasjoner som er avhengige av rammeverket for legitim interesse for AI-opplæring må implementere robuste tekniske og organisatoriske tiltak. Kravene er vesentlige:

• Forsterkede transparensforpliktelser som tydelig kommuniserer til de registrerte hvordan dataene deres bidrar til modelltrening, inkludert de spesifikke formålene, datakategoriene som brukes og de tiltenkte resultatene av AI-systemet.
• Funksjonelle «rett til å protestere»-mekanismer som opererer på datasettnivå som en teknisk implementert funksjon som kan identifisere, isolere og fjerne en persons data fra treningsdatasett på forespørsel.
• Dokumenterte avveiningstester som veier organisasjonens legitime interesse mot de registrertes rettigheter og friheter, med særlig vekt på omfanget av databehandlingen og sensitiviteten til de involverte dataene.
• Løpende overvåkings- og revisjonsprosesser som sikrer at samsvar opprettholdes gjennom hele modellens livssyklus, ikke bare ved den første datainnsamlingen.

Forsinkelse i høyrisikoforpliktelser

AI-loven har spesielle klassifiseringer for høyrisikosystemer, som inkluderer et sett med regler som etter planen skal tre i kraft i august 2027. Organisasjoner som forberedte seg på AI-lovens forpliktelser for høyrisikosystemer fikk en uventet utsettelse. Digital Omnibus introduserer en "Stopp klokken" mekanisme: en betinget avdragsfri periode som utsetter anvendelsen av regler for høyrisiko-KI inntil Kommisjonen bekrefter at viktige implementeringstiltak, som harmoniserte standarder og veiledning, er tilgjengelige. 

Sammenligning av før- og etteromnibusforskrifter

Stol på at Lazarus Alliance holder seg i forkant av GDPR og EU-forskrifter

Forslagene i den digitale omnibusen kan endres etter hvert som de behandles i Europaparlamentet og Rådet. Forhandlingene forventes å bli kontroversielle, særlig om bestemmelser som berører grunnleggende rettigheter og omfanget av forenklingstiltak. Men retningen ser ut til å være betydelig for hvordan personvern og KI håndteres i EU, og KI-fremadrettede selskaper i USA bør følge med.

For å lære mer om hvordan Lazarus Alliance kan hjelpe, kontakt oss. 

• FedRAMP
• GovRAMP
• NIST 800-53
• DFARS NIST 800-171
• CMMC
• SOC 1 og SOC 2
• ENS
• C5
• HIPAA, HITECH og meningsfull bruk
• PCI DSS RoC & SAQ
• IRS 1075 og 4812
• CJIS
• LA DMF
• ISO 27001, ISO 27002, ISO 27005, ISO 27017, ISO 27018, ISO 27701, ISO 22301, ISO 17020, ISO 17021, ISO 17025, ISO 17065, ISO 9001 og 90003 ISO
• NIAP Common Criteria – Lazarus Alliance Laboratories
• Og dusinvis til!