EU-forordning

Efter artikel 288 i TEUF har en forordning almen gyldighed, er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat. Umiddelbar anvendelighed betyder, at den bliver en del af national ret af sig selv uden en gennemførelsesretsakt; EU-Domstolen fastslog endda i Variola (34/73), at medlemslandene ikke må vedtage nationale regler, der gengiver eller tilslører en forordnings tekst, fordi det skjuler dens EU-oprindelse og Domstolens kompetence til at fortolke den. I modsætning til direktiver kan forordninger skabe rettigheder og pligter mellem private (horisontal virkning), og efter princippet om EU-rettens forrang skal en modstridende national regel tilsidesættes af den nationale domstol (Simmenthal, 106/77).

To datoer skal holdes adskilt: ikrafttrædelse og anvendelsesdato. GDPR trådte i kraft 24. maj 2016, men fandt anvendelse fra 25. maj 2018; DORA trådte i kraft 16. januar 2023 og fandt anvendelse fra 17. januar 2025; Cyberrobusthedsforordningen trådte i kraft 10. december 2024, men anvendes trinvis med indberetningspligt fra 11. september 2026 og de fleste forpligtelser fra 11. december 2027. Mellemrummet giver virksomheder og myndigheder tid til at forberede sig, og compliance-programmer planlægges efter anvendelsesdatoerne.

Umiddelbar anvendelighed betyder ikke, at national ret er uden betydning. Mange forordninger har åbningsbestemmelser, der kræver eller tillader nationale regler. GDPR giver bl.a. plads i art. 6, stk. 2-3, for behandling i den offentlige sektor, art. 8, stk. 1, for aldersgrænsen for samtykke til informationssamfundstjenester (mellem 13 og 16 år; Danmark valgte 13 i databeskyttelsesloven), art. 87 for nationale identifikationsnumre som CPR-nummeret og art. 88 for ansættelsesforhold. Forordninger kræver også typisk, at medlemslandene udpeger kompetente myndigheder og fastsætter sanktioner, som GDPR art. 84 og DORA art. 50 gør, og derfor findes der danske supplerende love, også for regler, der gælder direkte.

Meget af det tekniske indhold ligger i afledte retsakter, som Kommissionen vedtager med hjemmel i en forordning eller et direktiv: delegerede retsakter efter art. 290 TEUF, der supplerer eller ændrer ikke-væsentlige elementer (fx DORA's reguleringsmæssige tekniske standarder som delegeret forordning (EU) 2024/1774), og gennemførelsesretsakter efter art. 291, der fastsætter ensartede betingelser for gennemførelsen. De er selv forordninger og gælder direkte; bemærk, at en gennemførelsesforordning også kan vedtages med hjemmel i et direktiv, som gennemførelsesforordning (EU) 2024/2690, der fastsætter tekniske krav efter NIS2 for visse enheder inden for digital infrastruktur og digitale tjenester. At læse en forordning i praksis betyder derfor at læse grundretsakten, dens niveau 2-retsakter, eventuel vejledning fra EDPB eller de europæiske tilsynsmyndigheder, nationale supplerende regler og EU-Domstolens praksis.