Europeiska centralbankens yttrande av den 10 mars 2026 om ett förslag till förordning om förenkling av lagstiftningsramen på det digitala området (det digitala omnibuspaketet) (CON/2026/9)

Inledning och rättslig grund

Den 9 december 2025 mottog Europeiska centralbanken (ECB) en begäran från Europaparlamentet om ett yttrande över ett förslag till Europaparlamentets och rådets förordning om ändring av förordningarna (EU) 2016/679, (EU) 2018/1724, (EU) 2018/1725, (EU) 2023/2854 och direktiven 2002/58/EG, (EU) 2022/2555 och (EU) 2022/2557 vad gäller förenkling av lagstiftningsramen på det digitala området och om upphävande av förordningarna (EU) 2018/1807, (EU) 2019/1150, (EU) 2022/868 och direktiv (EU) 2019/1024 (det digitala omnibuspaketet) (nedan kallat förslaget till förordning).

ECB:s behörighet att avge ett yttrande grundas på artiklarna 127.4 och 282.5 i fördraget om Europeiska unionens funktionssätt eftersom förslaget till förordning innehåller bestämmelser som berör ECB:s behörighetsområden, särskilt att genomföra unionens monetära politik i enlighet med artikel 127.2 första strecksatsen och artikel 282.1 i fördraget, att främja ett väl fungerande betalningssystem enligt artikel 127.2 fjärde strecksatsen och artikel 282.1 i fördraget, tillsynen över kreditinstitut enligt artikel 127.6 i fördraget samt ECB:s uppgifter i samband med insamling av statistiska uppgifter i enlighet med artikel 5 i stadgan för Europeiska centralbankssystemet och Europeiska centralbanken (nedan kallad ECBS-stadgan). I enlighet med artikel 17.5 första meningen i arbetsordningen för Europeiska centralbanken har detta yttrande antagits av ECB-rådet.

1. Allmänna kommentarer

1.1 ECB stöder förslaget till förordning som är en viktig reform som syftar till att förenkla och optimera tillämpningen av det digitala regelverket i unionen. I den mån förslaget till förordning kan uppnå sitt mål att främja åtgärder som stärker unionens konkurrenskraft och minskar regelbördan för människor, företag och förvaltningar, kommer den att undanröja hinder för tillhandahållandet av tjänster och stödja utvecklingen av den digitala ekonomin i unionen, samtidigt man beaktar behovet av att upprätthålla högsta möjliga standarder för att främja unionens värden, inbegripet upprätthållandet av de grundläggande rättigheterna. Den digitala ekonomin blir allt viktigare och kan få konsekvenser för genomförandet av penningpolitiken eftersom den påverkar den miljö där penningpolitiken verkar genom att förändra konsumtions- och produktionsmönster, affärsmodeller och relativa priser på olika sätt i euroområdet och medlemsstaterna. Denna utveckling har betydande konsekvenser för variabler som är relevanta för penningpolitiken och mätningen av dessa, inbegripet sysselsättning, produktivitet, potentiell produktion och inflation. Den påverkar också den penningpolitiska transmissionen till hushåll och företag, vilket ökar den osäkerhet och komplexitet som beslutsfattarna står inför.

1.2 ECB välkomnar särskilt förslagen om att förenkla arrangemangen för utbyte av data från myndigheter till företag samt från företag till myndigheter samt bestämmelserna för att behandla personuppgifter enligt Europaparlamentets och rådets förordning(EU) nr 2023/2854 (nedan kallad dataakten). ECB deltar i stor utsträckning i insamlingen, utvecklingen, framställningen och spridningen av uppgifter som den använder för att utföra de uppgifter och verksamhet inom sitt behörighetsområde. Denna behörighet omfattar insamling av statistiska uppgifter som behövs för att kunna utföra Europeiska centralbankssystemets (ECBS) uppgifter enligt artikel 5 i ECBS-stadgan. ECB deltar också i många samarbetsinitiativ till stöd för delning av uppgifter och samarbete med unionens övriga institutioner, organ och byråer samt även medlemsstaternas behöriga myndigheter, tredjeländer och internationella organisationer. När den utför sina uppgifter får den också under vissa omständigheter behandla personuppgifter i enlighet med Europaparlamentets och rådets förordning (EU) 2018/1725 (nedan kallad EUDPR). Mot denna bakgrund stöder ECB de åtgärder som kommer att bygga upp ett enhetligt och sammanhängande regelverk för att främja tillgången till, och användningen av, uppgifter.

1.3 ECB ansvarar också för att säkerställa efterlevnaden av Europaparlamentets och rådets förordning (EU) 2022/2554 (nedan kallad DORA-förordningen) för kreditinstitut som klassificerats som betydande i enlighet med artikel 6.4 i rådets förordning (EU) nr 1024/2013 i enlighet med de tillsynsbefogenheter och tillsynsuppgifter som tilldelas genom den förordningen. I denna egenskap erhåller ECB rapporter från betydande kreditinstitut till sina nationella behöriga myndigheter om allvarliga informations- och kommunikationsteknikrelaterade incidenter (nedan kallade IKT-relaterade incidenter) och betydande cyberhot. En av ECBS grundläggande uppgifter är dessutom att främja väl fungerande betalningssystem, i enlighet med artikel 127.2 fjärde strecksatsen i fördraget, vilket återspeglas i artikel 3.1 i ECBS-stadgan. I detta sammanhang erhåller ECB incidentrapporter från betalningsinstitut och institut för elektroniska pengar samt från kreditinstitut, i enlighet med DORA-förordningen. Mot bakgrund av dessa ansvarsområden och uppgifter välkomnar ECB rent allmänt insatser för att ytterligare förenkla och harmonisera ramen för rapportering av IKT-relaterade incidenter inom unionen och genomföra en centraliserad rapportering av allvarliga IKT-relaterade incidenter. Eftersom finanssektorn har gått i bräschen för genomförandet av en harmoniserad, heltäckande och effektiv ram för incidentrapportering stöder ECB åtgärder som förenklar efterlevnaden av kraven på incidentrapportering, baserat på de erfarenheter som gjorts inom finanssektorn.

1.4 ECB är dock bekymrad över i vilken utsträckning föreslaget till förordning skulle medföra en förenkling i specifika fall där den inte minskar bördan för företag och offentliga myndigheter när det gäller regelefterlevnad. I detta yttrande beskriver ECB därför specifika tekniska iakttagelser och lämnar förslag avseende föreslaget till förordning.

1.5 På grund av dessa farhågor välkomnar ECB också att kommissionen ska genomföra en utvärdering av dataaktens viktigaste kapitel senast den 12 september 2028 och av de nya kapitlen inom fem år efter det att föreslaget till förordning har trätt i kraft. På samma sätt är det viktigt att översynsklausulen i DORA-förordningen inte ändras, vilket kräver att kommissionen genomför en översyn och lägger fram en rapport om hur olika aspekter av DORA-förordningen fungerar. Denna översyn bör säkerställa att de berörda förordningarna fortsätter att fungera effektivt för att tjäna sina mål och på så sätt stöder utvecklingen av den digitala ekonomin i unionen.

2. Digitala regler

2.1 ECB stöder till fullo föreslaget till förordning som ett första steg för att förenkla det digitala regelverket och optimera dess tillämpning. De digitala reglerna som med tiden har utvecklats på områdena data, artificiell intelligens, onlineplattformar, dataskydd och cybersäkerhet har blivit komplexa och innehåller nu fragmenterade och överlappande bestämmelser som skapar osäkerhet för både myndigheter och företag.

2.2 Genom att man i dataakten konsoliderar regler i Europaparlamentets och rådets förordning (EU) 2022/868 om vidareutnyttjande av skyddade data som innehas av offentliga organ i medlemsstaterna med reglerna i Europaparlamentets och rådets direktiv (EU) 2019/1024 om vidareutnyttjande av handlingar som innehas av offentliga myndigheter i medlemsstaterna eller offentliga företag skapar man en mer enhetlig struktur och mer konsekventa definitioner av centrala begrepp, vilket gör det lättare att tillämpa reglerna för datadelning. Detta kompletteras av att man upphäver föråldrade regler, särskilt reglerna i Europaparlamentets och rådets förordning (EU) 2018/1807.

2.3 För nationella centralbanker, som vanligtvis är myndigheter i medlemsstaterna och därför omfattas av regler som syftar till att underlätta vidareutnyttjande av data, medför detta ökad tydlighet som är välkommen. ECB och de nationella centralbankerna kommer också att gynnas av tydligare arrangemang när det gäller tillgången till data, särskilt källor med öppna data som har klassificerats som värdefulla dataset. Dessa dataset används i stor utsträckning av ECB när den utför sin uppgift enligt artikel 5.1 i ECBS-stadgan att samla in de statistiska uppgifter som behövs för att utföra ECBS uppgifter.

2.4 Exempelvis används information om företag och företagsägande för att upprätthålla RIAD-databasen (Register of Institutions and Affiliates Data) som är en delad uppsättning data för referensuppgifter om rättsliga och andra statistiska institutionella enheter som samlas in för att stödja verksamhetsprocesser inom Eurosystemet samt utförandet av de uppgifter som faller under ECBS och den gemensamma tillsynsmekanismen (SSM). I fall där ECB kan förlita sig på öppna data, dvs. data i ett öppet format som fritt kan användas, vidareutnyttjas och delas av vem som helst för vilket ändamål som helst, kan uppgiftslämnarnas rapporteringsbörda minskas och ECB kan dela denna information utan begränsningar inom ECBS och med andra offentliga myndigheter som den samarbetar med. ECB välkomnar att arrangemangen för tillgång till uppgifter och handlingar från den offentliga sektorn till företag inte påverkar unionens rättsliga system som utesluter tillgång till känsliga uppgifter och handlingar av skäl som rör insynsskydd för statistiska uppgifter och tystnadsplikt.

2.5 Genom föreslaget till förordning införs en viktig ändring av skyldigheten för datahållare att göra uppgifter tillgängliga för ECB – samt andra offentliga organ, kommissionen och unionsorgan – om det finns ett exceptionellt behov av att använda dessa data. Denna bestämmelse gör det möjligt för ECB att begära att uppgiftsinnehavare vid behov gör uppgifter tillgängliga för att hantera ett allmänt nödläge eller om ett exceptionellt behov kan påvisas. Eftersom datahållare definieras brett ger bestämmelsen ECB möjlighet att i dessa undantagsfall samla in uppgifter från ett bredare spektrum av personer än vad som är tillåtet när ECB samlar in statistiska uppgifter baserat på ECB:s befintliga befogenheter. ECB får endast samla in statistiska uppgifter från medlemmar i den rapporterande populationen som definieras i rådets förordning (EG) nr 2533/98, som främst hör till sektorn ”finansiella företag” enligt definitionen i Europeiska nationalräkenskapssystemet eller är juridiska och fysiska personer som innehar vissa finansiella positioner eller utför finansiella transaktioner.

2.6 Som ECB tidigare har påpekat i ett yttrande finns stora fördelar med att göra det möjligt för den offentliga sektorn att få tillgång till och använda privatägda uppgifter för ett antal fastställda ändamål av allmänt intresse. När ECB utför sina penningpolitiska uppgifter använder ECB i stor utsträckning inte bara officiell statistik som framställs av ECB, med hjälp av de nationella centralbankerna och det europeiska statistiksystemet (ESS), utan även icke-officiella och icke-traditionella datakällor. Icke-traditionella uppgifter kan t.ex. hämtas från högfrekvent prisinformation, indikatorer för befolkningens rörlighet eller andra uppgiftskällor som inte nödvändigtvis innehas av finansiella företag. ECB har endast befogenhet att begära dessa uppgifter från privata datainnehavare i fall där det finns ett exceptionellt behov.

2.7 Den huvudsakliga ändring som föreslaget till förordningen skulle införa är att begränsa de fall där denna befogenhet kan utövas till allmänna nödlägen, och exkludera andra fall där det kan finnas ett exceptionellt behov av att använda data. ECB skulle behöva visa att det finns ett exceptionellt behov av att använda vissa uppgifter för att utföra sina lagfästa uppgifter i allmänhetens intresse när den hanterar, begränsar eller stöder återhämtningen från ett allmänt nödläge.

2.8 ECB stöder målen med dessa ändringar och anser att det är lämpligt att förenkla ramen för datadelning mellan företag och myndigheter enligt dataakten samt att klargöra eventuella oklarheter som kan ha när man infört skyldigheter för företag. ECB stöder också uppfattningen att det är viktigt att bevara den officiella statistikens roll enligt dataakten, eftersom den uppdaterade unionsramen för europeisk statistik enligt Europaparlamentets och rådets förordning (EG) nr 223/2009 inte tar itu med allmänna nödlägen.

2.9 Till skillnad från ESS-medlemmar, som på vissa villkor får samla in uppgifter från privata datahållare för att utföra sina statistiska uppgifter, har ECB dock ingen befogenhet att samla in statistiska uppgifter från privata datahållare som inte är uppgiftslämnare, utom i fall där det finns ett exceptionellt behov. ECB måste förlita sig på mekanismer som tillåter datadelning från ESS till ECBS för att inhämta sådana uppgifter. Om tillämpningsområdet för den aktuella bestämmelsen begränsas till att endast omfatta ett allmänt nödläge är det ytterst viktigt att säkerställa att den kan tillämpas smidigt och otvetydigt i brådskande situationer där ytterligare datakällor behövs för att ECB ska kunna utföra antingen sin uppgift att samla in statistik eller andra centralbanks- eller tillsynsuppgifter. ECB rekommenderar därför en ytterligare förenkling av de villkor under vilka offentliga myndigheter får begära uppgifter, eftersom detta också skulle bidra till att minimera den komplexitet som datahållare ställs inför när de kontrollerar huruvida dessa villkor är uppfyllda.

2.10 ECB anser dessutom att ytterligare åtgärder bör vidtas för att förtydliga definitionen av ”allmänt nödläge”. En del av definitionen är att den måste fastställas eller officiellt förklaras i enlighet med relevanta förfaranden enligt unionsrätten eller nationell rätt. Men eftersom det finns en fragmenterad uppsättning rättsliga grunder i primär- och sekundärrätten som kan ligga till grund för att fastställa eller tillkännage ett allmänt nödläge bör man förtydliga att definitionen av ett ”allmänt nödläge”, när ett sådant fastställs eller tillkännages, inte kräver att några ytterligare kriterier är uppfyllda – med tanke på hur brådskande det är att hantera ett allmänt nödläge. Exempelvis gör Europaparlamentets och rådets förordning (EU) 2024/2747 det möjligt för rådet att aktivera bevakningsläget för den inre marknaden, för att hantera effekterna av ett krishot som potentiellt kan eskalera till en krissituation på den inre marknaden inom de följande sex månaderna. Det bör förtydligas att om den offentliga myndighetens uppgifter inbegriper att mildra det allmänna nödläget bör hotet om ett allmänt nödläge motivera det exceptionella behovet av att begära data. Rådets beslut 2014/415/EU som inrättar EU:s integrerade arrangemang för politisk krishantering för att genomföra solidaritetsklausulen (artikel 222 i fördraget) begränsar inte heller omfattningen på de omständigheter under vilka beslutet är tillämpligt till tidsbegränsade exceptionella situationer. Det bör därför vara tydligare att definitionen av allmänt nödläge är helt anpassad till, och inte mer restriktiv än, de situationer där nödarrangemang åberopas enligt unionsrätten och nationell rätt.

2.11 När det gäller arrangemangen för ersättning välkomnar ECB kravet på att göra data tillgängliga kostnadsfritt för att hantera ett allmänt nödläge, utom när datahållaren är ett mikroföretag eller ett litet företag. ECB anser dock att det är viktigt att se till att offentliga myndigheter som beviljas tillgång till uppgifter som innehas privat inte ådrar sig orimliga kostnader. Eftersom varje begäran om data tjänar allmänintresset bör data göras tillgängliga till självkostnad och utan påslag av en ”rimlig marginal”.

3. Uppgiftsskydd

3.1 ECB välkomnar de ändringar i förslaget till förordning som syftar till att förenkla dataskyddslagstiftningen. Inom ECB:s behörighetsområde finns det flera punkter som bör övervägas ytterligare för att uppnå målet om förenkling, både när det gäller att minska den administrativa bördan men även för att säkerställa effektiv, snabb och säker incidentrapportering.

3.2 ECB behandlar personuppgifter på många olika sätt i samarbete med de nationella centralbankerna. Dessutom samarbetar ECB med nationella behöriga myndigheter för att behandla personuppgifter inom området banktillsyn. I egenskap av unionsinstitution behandlar ECB personuppgifter i enlighet med EUDPR, medan de nationella centralbankerna och de nationella behöriga myndigheterna behandlar personuppgifter i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679 (nedan kallad GDPR).

3.3 I de fall där ECB och de nationella centralbankerna och/eller de nationella behöriga myndigheterna gemensamt fastställer ändamålen och medlen för att behandla personuppgifter utförs denna behandling av dem i egenskap av gemensamt personuppgiftsansvariga. Omvänt gäller att om en enhet bestämmer ändamålen och medlen för behandlingen och de andra behandlar personuppgifter för dess räkning, är förhållandet dem emellan personuppgiftsansvarig och personuppgiftsbiträde. I båda fallen behandlar ECB personuppgifter enligt EUDPR, medan de nationella centralbankerna och de nationella behöriga myndigheterna behandlar personuppgifter enligt GDPR. Till följd av detta regleras samma behandling samtidigt av två separata, men kompletterande, unionsrättsakter.

3.4 Ett exempel på detta är när både ECB och de nationella centralbanker som deltar i TARGET Instant Payment Settlements (TIPS) behandlar personuppgifter inom TIPS-systemet. I detta fall har ett avtal om gemensamt personuppgiftsansvar ingåtts. På samma sätt kan behandlingen av personuppgifter i samband med en framtida digital euro kräva att ett avtal eller arrangemang om dataskydd ingås mellan ECB och de nationella centralbankerna i euroområdet.

3.5 När man utför ECBS- och SSM-uppgifter i samarbete med de nationella centralbankerna och de nationella behöriga myndigheterna är det av yttersta vikt för ECB att de rättsakter som reglerar behandlingen av personuppgifter i största möjliga utsträckning är samordnade och ömsesidigt förenliga. ECB välkomnar därför att de föreslagna ändringarna av GDPR och EUDPR sker parallellt, vilket bidrar till inrättandet av en enhetlig och konsekvent rättslig ram. Detta säkerställer att olika tidsfrister för rättsakternas ikraftträdande och tillämpning inte ger upphov till rättsosäkerhet.

3.6 Mot bakgrund av ECB:s samarbete med de nationella centralbankerna och de nationella behöriga myndigheterna vid behandlingen av personuppgifter där detta är nödvändigt för att utföra ECBS- och SSM-uppgifter delar ECB därför följande punkter för övervägande:

3.7 När det gäller lösningen med en gemensam kontaktpunkt rekommenderar ECB att de gemensamt personuppgiftsansvariga ges befogenhet att anmäla personuppgiftsincidenter för alla gemensamt personuppgiftsansvarigas räkning. Detta är möjligt eftersom förslaget till förordning inför en gemensam kontaktpunkt genom vilken olika enheter, genom en enda anmälan, samtidigt kan fullgöra sina skyldigheter att rapportera incidenter inom ramen för flera unionsrättsakter. Enligt principen ”rapportera en gång och dela många gånger” är syftet med den gemensamma kontaktpunkten att minska den administrativa bördan för enheterna och samtidigt säkerställa en effektiv, snabb och säker incidentrapportering. I detta syfte ska den gemensamma kontaktpunkten fungera som en gemensam kanal för att lämna in anmälningar enligt flera rättsliga instrument. Som ECB tidigare har påpekat i ett yttrande är den mycket positiv till att genom informationsutbyte mellan myndigheter möjliggöra sektorsövergripande lärande, bidra till förebyggande och effektiv hantering av cyberattacker och främja en konsekvent bedömning av IKT-relaterade risker i hela unionen. Mot denna bakgrund stöder ECB införandet av en gemensam kontaktpunkt i samband med rapportering av personuppgiftsincidenter.

3.8 När den gemensamma kontaktpunkten tillämpas på gemensam behandling som utförs av ECB i samarbete med de nationella centralbankerna (och de nationella behöriga myndigheterna) skulle de nationella centralbankerna enligt förslaget till förordning gynnas om man använder en gemensam kontaktpunkt för mottagande av incidentanmälningar. Omvänt skulle ECB, i egenskap av unionsinstitution, enligt förslaget till förordning fortsätta att förlita sig på den rapporteringskanal som inrättats genom EUDPR, genom vilken den anmäler incidenter till Europeiska datatillsynsmannen (EDPS).

3.9 ECB upprepar behovet av att rationalisera, påskynda och maximera utbytet av information om incidenter och att säkerställa samstämmighet GDPR och EUDPR. Det skulle därför vara lämpligt att inkludera EUDPR i de unionsrättsakter där den gemensamma kontaktpunkten ska användas för att anmäla personuppgiftsincidenter.

3.10 När det gäller rapporteringen av incidenter genom gemensamt personuppgiftsansvariga vidhåller ECB att gemensamt personuppgiftsansvariga bör kunna välja huruvida de utnyttjar denna möjlighet och på vilka villkor. Europeiska datatillsynsmannen (EDPS) har nyligen bekräftat att det, för att fastställa huruvida ECB är skyldig att underrätta EDPS om en personuppgiftsincident, saknar betydelse huruvida ECB, i egenskap av gemensamt personuppgiftsansvarig, är ansvarig för incidenten. Det faktum att ECB är gemensamt personuppgiftsansvarig för den behandling inom ramen för vilken personuppgiftsincidenten har inträffat är tillräckligt för att utlösa dess skyldighet att underrätta EDPS, om de relevanta villkoren enligt EUDPR är uppfyllda.

3.11 Det är viktigt att notera att i de många fall där det finns ett arrangemang med gemensamt personuppgiftsansvar mellan ECB och alla nationella centralbanker i Eurosystemet kan en enda personuppgiftsincident ge upphov till upp till 22 anmälningar, som med all sannolikhet skulle ha ett liknande eller identiskt innehåll. Ett sådant system skulle strida mot målet att minska den administrativa bördan för myndigheter. Det skulle därför vara lämpligt att föreskriva att det räcker om gemensamt personuppgiftsansvariga anmäler personuppgiftsincidenter via den gemensamma kontaktpunkten endast en gång till de behöriga tillsynsmyndigheterna. I linje med målen om förenkling skulle ett sådant rapporteringssystem inte tillämpas när det är osannolikt att personuppgiftsincidenten i fråga medför risk för fysiska personers rättigheter och friheter.

3.12 Av dessa skäl rekommenderar ECB att de gemensamt personuppgiftsansvariga bör få välja huruvida de vill utnyttja möjligheten att lämna in en anmälan på alla gemensamt personuppgiftsansvarigas vägnar i ett särskilt arrangemang för gemensamt personuppgiftsansvar, och under vilka förutsättningar. En sådan anmälan skulle lämnas in en enda gång via den gemensamma kontaktpunkten och därmed riktas till alla relevanta tillsynsmyndigheter, utan att äventyra den roll som anmälningsskyldigheterna spelar för att säkerställa fullständig transparens och omfattande informationsutbyte.

4. Incidentrapportering

4.1 Såsom konstateras i punkt 1.3 välkomnar ECB initiativet att förenkla och harmonisera ramen för rapportering av IKT-relaterade incidenter och genomföra en centraliserad rapportering av allvarliga IKT-relaterade incidenter. Detta bör dock i varje enskilt fall minska den administrativa bördan för kreditinstitut, betalningsinstitut, institut för elektroniska pengar som står under tillsyn samt också för myndigheterna. I detta avseende är det viktigt att beakta att en viss förenkling av rapporteringsförfarandena redan har skett när man genomförde DORA-förordningen i finanssektorn. DORA-förordningen ersatte olika IKT-relaterade rapporteringskrav avseende incidenter för finansiella entiteter, och uppnådde en betydande minskning av deras rapporteringsbörda samt införde ändamålsenliga och effektiva samordningsmekanismer mellan de olika behöriga myndigheterna. DORA-förordningen uppnådde detta mål genom att fastställa gemensamma taxonomier, mallar och rapporteringsförfaranden samt genom att identifiera en unik kontaktpunkt för dessa rapporter.

4.2 Trots att ECB stöder dessa målet om förenkling, har den också reservationer mot vissa åtgärder kring rapporteringen av IKT-relaterade incidenter i förslaget till förordning, av tre huvudsakliga skäl.

4.3 För det första reducerar förslaget om en gemensam kontaktpunkt inte rapporteringsbördan för finansiella enheter och andra företag som omfattas av rapporteringskrav avseende incidenter. Den gemensamma kontaktpunkten säkerställer visserligen att det finns en gemensam kontaktpunkt för incidentrapportering, men den ändrar inte det faktum att det fortfarande finns olika taxonomier, mallar och rapporteringsförfaranden för varje incidentrapport inom de olika ramverken utanför DORA-förordningen. För att rapportera en incident måste en finansiell enhet ta fram olika rapporter i enlighet med olika lagstiftning (t.ex. enligt GDPR och DORA-förordningen). Att man tillåter att dessa rapporter anmäls till en enda mottagare minskar inte den administrativa bördan i någon större utsträckning. Mot denna bakgrund vore det lämpligt att beakta de tekniska standarder för tillsyn som antagits i enlighet med DORA-förordningen för att underlätta effektivare rapporteringsprocesser. ECB skulle också välkomna ytterligare anpassning, och i lämpliga fall även sammanslagningar, av taxonomier, mallar och rapporteringsförfaranden för incidenter enligt de olika ramverken, i syfte att uppnå en verklig förenkling.

4.4 För det andra utlöser en DORA-incidentrapport tidskritiska processer som kan omfatta en aktivering av krishanteringsförfaranden. Att inkludera en ny aktör och ett nytt system i mottagandet av dessa incidentrapporter medför ytterligare risker när det gäller tillgången till, och en snabb rapportering av, den information som behövs. Därför är det mest effektiva och motståndskraftiga alternativet att dessa rapporter skickas direkt till den behöriga myndigheten i enlighet med DORA-förordningen, för att undvika onödiga förseningar i tillsynsmyndigheternas reaktion på en möjligtvis kritisk situation.

4.5 För det tredje bör man ta hänsyn till de insatser och kostnader som finanssektorn redan haft för att genomföra DORA-förordningen, som började tillämpas först den 17 januari 2025. Kreditinstitut som står under tillsyn och behöriga myndigheter har investerat betydande resurser i genomförandet av det nya regelverket. Ur detta perspektiv skulle det vara fördelaktigt att senarelägga integreringen av IKT-relaterad incidentrapportering via den gemensamma kontaktpunkten. Detta skulle ge mer tid för att identifiera potentiella förbättringar och sätt att ytterligare förenkla den administrativa bördan för både den gemensamma tillsynsmekanismen och de kreditinstitut som står under tillsyn.

4.6 Mot denna bakgrund föreslår ECB att DORA-förordningen undantas från förslaget till förordning. Det vore lämpligt att först prova den nya gemensamma kontaktpunkten (som omfattar de andra förordningarna, inbegripet EUDPR) och den nyligen genomförda DORA-rapporteringsordningen, för att sedan i ett senare skede se över hur dessa bäst kan slås samman. I de fall där ECB rekommenderar att förslaget till förordning ska ändras anges de specifika förslagen i ett separat tekniskt arbetsdokument som åtföljs av en förklaring. Det tekniska arbetsdokumentet finns på engelska i EUR-Lex.

Utfärdat i Frankfurt am Main den 10 mars 2026.

Christine Lagarde

ECB:s ordförande

Europeiska centralbankens yttrande av den 10 mars 2026 om ett förslag till förordning om förenkling av lagstiftningsramen på det digitala området (det digitala omnibuspaketet) (CON/2026/9)