Förordning eller direktiv – vad är skillnaden, och varför spelar det roll?
Skillnaden låter akademisk och är det inte. Den avgör var ni hittar de regler som gäller er, när de börjar gälla och om de ser likadana ut i Sverige som i Tyskland.
Första timmen bjuder vi på. Utan bindning.
Kort svar
En förordning gäller direkt som lag i alla medlemsstater. Ingen svensk lagstiftning krävs, och texten är identisk i hela EU.
Ett direktiv binder medlemsstaterna att uppnå ett resultat, men varje land väljer själv hur. Ni möter direktivet genom en svensk lag, och detaljerna kan skilja sig mellan länderna.
Skillnaden i tabellform
| Förordning | Direktiv | |
|---|---|---|
| Gäller direkt | Ja | Nej – kräver nationell lag |
| Var står reglerna | I EU-texten | I den svenska lagen |
| Samma i hela EU | Ja | Nej – nationella skillnader |
| Genomförandetid | Ingen – bara tillämpningsdatum | Normalt två år för medlemsstaterna |
| Exempel | GDPR, AI-förordningen, DORA, Data Act | NIS2, CER-direktivet, visselblåsardirektivet |
Varför det spelar roll i praktiken
Det avgör var ni ska leta
Undrar ni vad AI-förordningen kräver läser ni EU-texten – det finns ingen svensk AI-lag som säger något annat. Undrar ni vad NIS2 kräver av er läser ni cybersäkerhetslagen (2025:1506), inte direktivet. Direktivet förklarar bara varför lagen ser ut som den gör.
Det avgör om ni kan återanvända svaret i andra länder
Ett bolag som säljer i sex medlemsstater kan bygga ett GDPR-program och ett AI-program – förordningarna är desamma överallt. Motsvarande arbete för NIS2 måste kontrolleras land för land, eftersom varje medlemsstat har genomfört direktivet med sina egna trösklar, tillsynsmyndigheter och rapporteringsvägar.
Det är den vanligaste felkällan vi ser hos bolag som expanderar: att anta att NIS2 fungerar likadant i Sverige som i Nederländerna.
Det avgör vad som händer om Sverige är sen
En förordning gäller från sitt tillämpningsdatum oavsett vad Sverige gör. Ett direktiv som inte genomförts i tid kan i vissa fall åberopas direkt mot staten och statliga organ – men inte mellan privata företag. I väntan på nationell lag befinner sig privata aktörer därför i ett mellanläge.
Två saker som ofta blandas ihop
Ikraftträdande är inte tillämpning. AI-förordningen trädde i kraft den 1 augusti 2024, men de flesta skyldigheterna tillämpas långt senare – högriskkraven först i december 2027. Det är tillämpningsdatumet som styr era planer.
En förordning kan ändå kräva svensk lagstiftning. Inte för att gälla, men för sådant den överlåter åt medlemsstaterna: vilka myndigheter som utövar tillsyn, sanktionsförfaranden, processuella regler. Därför finns det svensk kompletterande lagstiftning även till GDPR.
De regelverk ni troligen möter
- Förordningar: GDPR, AI-förordningen, DORA, Data Act, DSA, DMA, dataförvaltningsförordningen
- Direktiv: NIS2 (cybersäkerhetslagen), CER-direktivet, visselblåsardirektivet, tillgänglighetsdirektivet
Ett tredje instrument, beslut, är bindande men riktar sig mot namngivna adressater – ni möter dem sällan om ni inte är den som beslutet gäller.
Vanliga frågor
Vad väger tyngst, EU-rätt eller svensk lag?
EU-rätten har företräde. Svensk lag som strider mot en EU-förordning ska inte tillämpas i den delen.
Måste vi läsa EU-texten själva?
För förordningar är den utgångspunkten, eftersom det är den bindande texten. Ingressens skäl är ofta mer läsbara än artiklarna och används vid tolkning.
Hur vet vi om något är en förordning eller ett direktiv?
Det står i namnet: “Europaparlamentets och rådets förordning (EU) 2024/1689” är AI-förordningen. “Direktiv (EU) 2022/2555” är NIS2.
Varför heter det AI-förordningen på svenska men AI Act på engelska?
“Act” är den informella engelska benämningen. Det formella namnet är förordning (EU) 2024/1689. Samma text, olika kortnamn.
Var ni börjar
Om frågan egentligen är “vad gäller för oss” snarare än “vad är skillnaden” – det är ett samtal, och det kostar ingenting.
Vem ni arbetar med
Narmin Abbasova, Legal Advisor inom EU- och affärsjuridik, leder det här arbetet. Hon är specialiserad på EU:s affärsjuridik, gränsöverskridande frågor och kommersiella avtal, med erfarenhet från internationella byråer och advokatsamfund, och har en LL.M. i europeisk affärsjuridik från Lunds universitet. Lawgent är Sveriges första advokatbyrå med AI och EU-reglering som specialområde — möt teamet.