EU har infört en ny digital omnibuslag som är utformad för att effektivisera regleringen av dataskydd, cybersäkerhet och AI. Hur kan organisationer säkerställa att deras egna efterlevnadsstrategier är anpassningsbara och sammanhängande för att förbli motståndskraftiga i takt med att den digitala regleringen utvecklas?

Av Kate O'Flaherty

Att navigera bland de många digitala lagarna som täcker en mängd olika jurisdiktioner är ett minfält för de flesta organisationer. Och den pågående kampen för att följa dem alla individuellt är föga meningsfull när så många av reglernas krav överlappar varandra.

Det är med detta i åtanke som EU har föreslagit en Digital omnibuslagförslag utformad för att effektivisera och anpassa reglering av dataskydd, cybersäkerhet och AI.

Lagförslaget, som först tillkännagavs i november 2025, är för närvarande under samråd och planeras att genomföras i början av 2027. Det förväntas ge upp till 5 miljarder euro i besparingar fram till 2029.

I takt med att digital reglering som omfattar dataskydd, cybersäkerhet och AI konvergerar, omformar den förväntningarna kring styrning, ansvarsskyldighet och riskhantering. Organisationer behöver nu anpassningsbara och sammanhängande efterlevnadsstrategier för att fortsätta elastisk i takt med att den digitala regleringen utvecklas.

Perfekt ögonblick för en räkning

Lagförslaget har kommit i perfekt tidpunkt. Med tiden har ansamlingen av nya regler om digital säkerhet, dataintegritet och integritet ökat komplexiteten och drivit upp efterlevnadskostnaderna för organisationer som är verksamma i EU, säger Ben Lipczynski, chef för säkerhetstjänster på Origina.

Regler som t.ex EU: s allmänna databeskrivningsförordning (GDPR), Nätverks- och informationssystem 2 (2 NIS), den Cyberresilience Act och EU:s AI-lag har införts med tydliga mål.

Ändå har deras överlappning ”skapat onödig administrativ börda och minskad konkurrenskraft”, säger Lipczynski. Med den föreslagna lagen om digital omnibus har EU erkänt att ”fragmenterad och dubbelverkande digital reglering” undergräver den inre marknadens effektivitet, berättar han. Jag.

Den digitala omnibusen är inte bara en annan lag. Den bör ses som att EU medger att den gamla modellen att behandla flera regleringar som separata silos inte längre fungerar, säger Tracey Hannan-Jones, konsultchef för informationssäkerhet och GRC samt grupp-DPO på UBDS Digital. ”Det är EU:s första försök att delvis förena den digitala regelboken, med optimering över data, AI och cyber, genom att ändra befintliga instrument – ​​snarare än att lägga till nya ovanpå.”

I verkligheten betyder det att det är ”en horisontell upprensning”. Den ändrar GDPR, NIS2, EU:s AI-lag, datastyrningslagen och andra, genom ”ett samordnat paket”, förklarar Hannan-Jones.

Lagöverlappningar

Nuvarande digitala lagar överlappar varandra över flera områden. Till exempel överlappar NIS2, lagen om cyberresiliens och EU:s AI-lag varandra när det gäller incidentrapportering och krav på resiliens. Dessa överlappningar förväntas åtgärdas genom den föreslagna gemensamma kontaktpunkten, som syftar till att förenkla och konsolidera rapporteringsskyldigheter över olika ramverk, säger Lipczynski från Origina.

Detta kommer att innebära ett stort skifte bort från ofta isolerade regelverk, vilket kan resultera i ”ökad komplexitet och konkurrerande krav”, säger Lipczynski. För närvarande kan organisationer, när de rapporterar cyberincidenter, vara skyldiga att rapportera till flera oberoende myndigheter – där var och en prioriterar olika datamängder i incidentrapporten. ”Detta kan skapa en betydande administrativ börda vid en kritisk tidpunkt.”

På liknande sätt ökar komplexiteten ytterligare att spåra och reagera på förändringar inom ett flertal regelverk – ofta kommunicerade via oberoende och spridda kanaler. ”Denna fragmentering gör det svårare att anpassa responsplaner och styrningsstrukturer, vilket ökar både efterlevnadsansträngningarna och den operativa risken”, säger Lipczynski.

Samordning skulle kunna göra det möjligt för organisationer att effektivisera och standardisera sina regelverk och uppnå operativ effektivitet – och därmed besparingar, säger Lipczynski. ”Resurser kan sedan riktas mot insatser som ytterligare kan utveckla verksamhetens kapacitet och konkurrenskraft.”

Organisationer bör dock notera att även om regelkonvergens skapar möjligheter, kan det också skapa vissa utmaningar, säger David Dumont, partner, Hunton Andrews Kurth. ”En harmoniserad och tydlig uppsättning digitala regler kan kräva att organisationer antar en mer omfattande och konsekvent strategi för sina databehandlingsrutiner och relaterade skyldigheter, vilket ger mindre utrymme att gömma sig bakom komplexiteten och inkonsekvenserna i det nuvarande lapptäcket av regler.”

Sammanhängande digital riskstyrning i praktiken

Den digitala omnibuslagen är ett tydligt tecken på att företag behöver skaka om isolerade strategier för dataskydd, cybersäkerhet och efterlevnad av AI-regler.

Företag bör sträva efter ”samordnad” digital riskstyrning, vilket innebär att ”interna tvärvetenskapliga intressenter måste arbeta tillsammans och tala samma språk”, säger Dumont från Hunton Andrews Kurth.

För att uppnå detta bör team inom integritet, juridik och efterlevnad försöka översätta juridiska krav till tekniska termer. ”Detta kommer att hjälpa IT- och datastyrningsteam att identifiera relevanta befintliga åtgärder inom organisationen och fullt utnyttja dem för att följa ramverket för nya digitala lagar”, råder han.

I praktiken innebär sammanhållen digital riskhantering att man etablerar ett enda styrningslager genom vilket all känslig datakommunikation – oavsett om det är e-post, fildelning, hanterad filöverföring eller webbformulär – dirigeras, övervakas och kontrolleras enligt en enhetlig uppsättning policyer, säger Dario Perfettibile, general manager för EMEA GTM och kundverksamhet på Kiteworks. ”Det innebär att samma krypteringsstandarder, åtkomstkontroller och granskningsloggar som uppfyller GDPR:s dataskyddskrav också fungerar som bevis för NIS2-incidentrapportering och sårbarhetshantering enligt Cyber ​​Resilience Act.”

Det innebär också att när en anställd delar data med en tredjepartsleverantör av AI, styrs utbytet automatiskt av samma kontroller som skyddar patientjournaler eller finansiella transaktioner. ”Du behöver en komplett spårbarhetskedja som är synlig för revisorer inom alla tillämpliga ramverk”, tillägger Perfettibile.

Framtidssäker efterlevnad

Med den digitala omnibuslagen som kommer om ett år är det klokt att börja framtidssäkra din efterlevnad strategi nu. Anpassa sig till styrningsramverk och ISO-standarder som ISO 27001 (informationssäkerhet), ISO 42001 (AI-hantering), och ISO 27701 (sekretess), är avgörande för att navigera förändringarna.

För att säkerställa en gemensam efterlevnad framöver råder Hannan-Jones från UBDS Digital företag att konsolidera sina styrningsorgan. Som en del av detta föreslår hon att man inrättar en gemensam digital riskkommitté som ansvarar för dataskyddsstrategi (GDPR), cybersäkerhetsställning (NIS2/CRA), AI-styrning (AI-lagen) och produktefterlevnad (CRA/sektoriella regler).

Samtidigt, om du verkar i flera jurisdiktioner, är det strategiska draget att titta på alla lagar och ramverk och kartlägga överlappningen, inte bara skyldigheterna, säger Hannan-Jones.

Hon rekommenderar att man bygger en matris som visar var regleringar som GDPR, NIS och AI-lagen kräver riskbedömningar, styrningsroller, tekniska och organisatoriska åtgärder, incidentrapportering och dokumentation med registerhållning. ”Utforma sedan gemensamma processer där överlappningarna är starkast.”

Organisationer kan standardisera sina bedömningar och dokumentation genom att utveckla en central riskbedömningsmetodik med moduler för integritet, AI och säkerhet. ”Säkerställ att enhetliga baslinjer samlas in, inklusive åtkomstkontroll, loggning och övervakning, testning och kryptering”, tillägger hon.

I takt med att digitala regleringar konvergerar bör detta kopplas tillbaka till ett enhetligt incidenthanteringsprogram som klassificerar intrång inom integritet, säkerhet och AI. ”Och, där så är lämpligt, automatiskt mappa dem till relevanta lagstadgade rapporteringsskyldigheter och tidslinjer”, säger Hannan-Jones. ”Detta gör att ni kan skapa ett enda bevisspår som kan återanvändas av flera tillsynsmyndigheter.”