Ny lagstiftning 2025:
- Finansbranchens DORA (17 januari) för att stärka IT-säkerheten.
En ny EU-förordning, DORA (Digital Operational Resilience Act), träder i kraft i januari och omfattar banker, försäkringsbolag, betalningsinstitut, värdepappersföretag, fondförvaltare och andra reglerade aktörer inom finanssektorn i hela EU. Även leverantörer av kritiska informations- och kommunikationstjänster kan träffas direkt av de nya reglerna om deras tjänster anses avgörande för finansiella aktörers digitala motståndskraft. Syftet med DORA är att stärka IT-säkerheten och skydda finanssektorn mot digitala hot, inklusive krav på att kontrollera och hantera risker från leverantörer. Om du är IT-leverantör och har finansiella aktörer som kunder kan du påverkas indirekt eftersom dina tjänster då måste uppfylla de krav som kunderna kommer att ställa till följd av DORA.
- EU:s Data Act som ska göra det lättare att använda data (dock inte personuppgifter) som skapas vid användning av uppkopplade produkter träder i kraft den 12 september 2025.
Data Act kommer främst påverka de företag som är leverantörer av uppkopplade produkter eller tjänster som hör ihop med sådana produkter. Data Act ger användare, oavsett om de är företag eller privatpersoner, rätten att få tillgång till och återanvända den data som skapas genom användningen av uppkopplade produkter eller tjänster som hör ihop med de uppkopplade produkterna. Med data menas inte bara användarens egen användning utan all data som skapas. Den bakomliggande tanken till EU:s Data Act är att fördela värdet av och nyttan med data mellan aktörerna i dataekonomin på ett bättre och mer rättvist sätt genom att främja tillgången och användning av data. På så sätt stimuleras innovation. Du som leverantör måste samtidigt säkerställa att du inte delar personuppgifter (dvs. data som kan identifiera en användare) på ett felaktigt sätt när du delar data till andra då GDPR fortfarande är tillämplig på hur överföringen får ske.
- Du kanske har hört rykten om förslaget till den GDPR-relaterade lex specialis ePrivacy Regulation med (ännu) strängare krav rörande e-postmarknadsföring samt spårning och cookies?
ePrivacy Regulation har förhandlats inom EU i över åtta år, och ännu är man inte överens. Den kommer troligen att skruvas till av den nya EU Kommissionen då många av reglerna som föreslås redan är obsoleta. Detta innebär dock inte att den kommer att försvinna. Lagen som ePrivacy Regulation skulle ersätta, ePrivacy directive, är i skriande behov av att uppdateras och det troliga är att den till vissa delar kommer att dyka upp i nya lagförslag som exempelvis Digital Fairness Act (ett kommande lagförslag för den digitala sektorn som, enligt ryktena från Bryssel, kommer att ta avstamp i konsumentperspektivet). Vi kommer fortsätta att ha örat mot marken vad det gäller EU och informera om Digital Fairness Act samt andra lagförslag när de presenteras inom EU.
- EU:s AI Act – den första rättsliga ramen någonsin för just AI även om annan lagstiftning kontrollerar området indirekt. I februari kickar vissa förbud in och kraven på general-purpose AI (GPAI) börjar gälla i augusti 2025.
- Inom cybersäkerhet kommer NIS2-direktivet (troligen sommaren) avseende 18 sektorer såsom verksamhet inom energi, transport, offentlig förvaltning, tillverkning, forskning m.m. med full implementering och efterlevnadskontroller, ökade krav på ledningen osv. samt fortsatt införlivande av CER-direktivet (1 augusti) där sanktionsavgifterna i säkerhetsskyddslagen höjs kraftigt (till 120 miljoner kronor eller två procent av verksamhetsutövarens totala globala årsomsättning).
- Mica-förordningen rör kryptotillgångar (till exempel tillhandahållare av kryptoplånböcker respektive utgivare av e-pengatokens – s.k. “stablecoins” med avsikt att behålla ett stabilt värde över tid genom att referera till en eller flera officiella valutor).
Har du frågor gällande ny lagstiftning 2025, kontakta oss!
Caroline Snellman
CEO, LW Advisory
070-772 15 01
caroline.snellman@legalworks.se
