Der Compliance-Kalender 2027 und die Nachweise dahinter

Compliance-Programme in mittelständischen Unternehmen bringen meist Richtlinien hervor, etwa eine Richtlinie für Cybervorfälle, eine Datenschutzrichtlinie und einen Verhaltenskodex für Lieferanten. Aufsichtsbehörden, Abschlussprüfer, Kunden und Gerichte stellen zunehmend eine andere Frage: Zeigen Sie uns, was geschehen ist, wann und wer entschieden hat. Eine Richtlinie kann das nicht beantworten. Protokolle, Zeitstempel, Genehmigungen und aufbewahrte Dokumente können es, sofern sie zum jeweiligen Zeitpunkt entstanden sind.

Die Regeln, die in den nächsten acht Monaten kommen, machen das konkret. Mehrere sind mit Fristen in Stunden verbunden, mit einer Beweislast beim Unternehmen oder mit Daten, die ein Produkt oder eine Sendung begleiten müssen. Die sinnvolle Frage ist jeweils, welches System die Nachweise halten wird, wer dafür verantwortlich ist und ob sie heute schon existieren.

Der folgende Kalender umfasst Regeln, die häufig Unternehmen mit Geschäft im Vereinigten Königreich und in der EU betreffen. Er ist eine Planungshilfe. Ob und wie eine Regel gilt, hängt vom Unternehmen ab, und dieser Beitrag ist keine Rechtsberatung. Rechtsanwälte und Berater in jeder Rechtsordnung bestätigen Anwendungsbereich und Pflichten.

Die Identitätsprüfung bei Companies House ist seit dem 18. November 2025 verpflichtend. Directors, die vor diesem Datum im Amt waren, weisen ihre Identität über das nächste Confirmation Statement ihrer Gesellschaft nach, das innerhalb einer zwölfmonatigen Übergangsfrist eingereicht wird; diese endet im November 2026. Ein Confirmation Statement kann erst eingereicht werden, wenn die Prüfung für jeden Director vorliegt, und Personen mit maßgeblichem Einfluss (People with Significant Control) haben eigene 14-Tage-Fristen. Ein Konzern mit mehreren britischen Gesellschaften und Directors im Ausland hat für jede Funktion eine eigene Frist.

Das Arbeitsrecht ändert sich stufenweise. Die Fristen für Klagen vor den Employment Tribunals wurden für Sachverhalte ab dem 1. Oktober 2026 von drei auf sechs Monate verlängert. Ab dem 1. Januar 2027 sinkt die Wartezeit für den allgemeinen Schutz vor ungerechtfertigter Kündigung auf sechs Monate, und die Entschädigungsobergrenze entfällt; Einschränkungen für Kündigungen mit anschließender Wiedereinstellung zu geänderten Kernbedingungen sind für denselben Monat vorgesehen.

Die neuen Regeln für Abonnementverträge nach dem Digital Markets, Competition and Consumers Act 2024 sollen nun im Januar 2027 in Kraft treten, vorgezogen vom Frühjahr 2027, auch wenn die Durchführungsverordnungen und Leitlinien bei Bekanntgabe des Termins noch erlassen werden mussten. Händler tragen die Beweislast dafür, dass vorgeschriebene Mitteilungen, etwa zum Widerrufsrecht, erfolgt sind.

Der britische CO2-Grenzausgleichsmechanismus startet am 1. Januar 2027 für Importeure erfasster Waren aus Aluminium, Zement, Düngemitteln, Wasserstoff sowie Eisen und Stahl oberhalb einer Registrierungsschwelle von 50.000 £.

Zwei Punkte gelten bereits und erzeugen schon jetzt Nachweise. Nach dem Data (Use and Access) Act 2025 braucht jeder Verantwortliche seit dem 19. Juni 2026 ein Verfahren für Datenschutzbeschwerden. Zwei Gesetzentwürfe liegen weiterhin dem Parlament vor: die Cyber Security and Resilience Bill, die das Regelwerk für Netz- und Informationssysteme (NIS) ausweiten würde, und die Commercial Payments Bill zu Zahlungsfristen und Verzugszinsen. Keiner von beiden ist bisher Gesetz.

Produktkennungen werden ab dem 1. November 2026 in Zollanmeldungen für Pakete geringen Werts verpflichtend, nachdem am 1. Juli 2026 der Zoll von 3 € je Artikel eingeführt wurde.

Nach der KI-Verordnung gelten die Transparenzpflichten nach Artikel 50 seit dem 2. August 2026. Der im Juli 2026 veröffentlichte Digital-Omnibus zur KI gab generativen Systemen, die bereits auf dem Markt sind, bis zum 2. Dezember 2026 Zeit für eine maschinenlesbare Kennzeichnung, fügte ab demselben Datum zwei Verbote hinzu und verschob die Hochrisiko-Pflichten für Anwendungen nach Anhang III, zu denen Personalgewinnung und Kreditvergabe gehören, auf den 2. Dezember 2027.

Die neue Produkthaftungsrichtlinie muss bis zum 9. Dezember 2026 umgesetzt werden. Die bisherige Richtlinie wird zu diesem Datum aufgehoben, gilt aber weiterhin für Produkte, die vorher in Verkehr gebracht wurden. Der neue Produktbegriff erfasst Software, einschließlich Anwendungen und KI-Systemen.

Die EU-Entwaldungsverordnung gilt ab dem 30. Dezember 2026 für große und mittlere Marktteilnehmer sowie für Kleinst- und Kleinunternehmen, die bereits unter die Holzhandelsverordnung fallen, und ab dem 30. Juni 2027 für die übrigen Kleinst- und Kleinunternehmen.

Nach der Cyberresilienz-Verordnung müssen Hersteller von Produkten mit digitalen Elementen seit dem 11. September 2026 aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden, auch für Produkte, die bereits auf dem Markt sind. Eine Frühwarnung ist innerhalb von 24 Stunden nach Kenntniserlangung fällig, eine Meldung innerhalb von 72 Stunden und später ein Abschlussbericht. Die Hauptpflichten der Verordnung gelten ab dem 11. Dezember 2027.

CBAM-Zertifikate für Einfuhren aus 2026 werden ab dem 1. Februar 2027 verkauft. Die Mitgliedstaaten müssen die Omnibus-Änderungen zur Nachhaltigkeitsberichterstattung bis zum 19. März 2027 umsetzen. Arbeitgeber mit 150 oder mehr Beschäftigten müssen ihre ersten Berichte zum geschlechtsspezifischen Entgeltgefälle nach der Entgelttransparenzrichtlinie bis zum 7. Juni 2027 einreichen.

Ein Nachweispfad hat vier Bestandteile: ein führendes System, einen von diesem System erzeugten Zeitstempel, eine benannte verantwortliche Person und eine Aufbewahrungsregel. Auf den Kalender angewendet, ergibt das konkrete Aufzeichnungen.

Bei Cyber-Meldungen nach der Cyberresilienz-Verordnung beginnt die 24-Stunden-Frist, sobald der Hersteller von der aktiven Ausnutzung Kenntnis erlangt. Der Nachweis ist das Ticket oder die Warnmeldung, die den Zeitpunkt der Kenntnisnahme festhält, die Triage-Entscheidung und die Einreichungsreferenz der zentralen Meldeplattform. Sind Sicherheitswerkzeug und Ticketsystem nicht verbunden, muss der Zeitstempel nachträglich rekonstruiert werden, und genau das wird eine Aufsichtsbehörde hinterfragen.

Bei Abonnements ist der Nachweis ein Nachrichtenprotokoll, das zeigt, welche Erinnerung oder Mitteilung jeder Kunde erhalten hat, welchen Inhalt sie zu diesem Datum hatte und ob sie zugestellt wurde. Screenshots einer Vorlage zeigen nicht, dass ein bestimmter Kunde sie erhalten hat.

Bei den Entwaldungsregeln ist der Nachweis die Referenznummer der Sorgfaltserklärung, hinterlegt zu jeder Bestellung und jeder Charge, zusammen mit den Geolokalisierungsdaten, die sie stützen. Bei CBAM sind es die Emissionsdaten der Anlage oder der Standardwert, der für jede Einfuhranmeldung verwendet wurde. Bei der Identitätsprüfung ist es ein Verzeichnis mit Prüfstatus und Frist jedes Directors und jeder kontrollierenden Person über alle britischen Gesellschaften des Konzerns. Bei Datenschutzbeschwerden ist es ein Protokoll jeder Beschwerde mit Datum der Eingangsbestätigung, ergriffenen Schritten und Ergebnis.

Nichts davon erfordert eine neue Plattform. Meist braucht es zwei oder drei verbundene Systeme, zusätzliche Felder in bestehenden Datensätzen und eine geplante Prüfung, die Lücken an eine benannte verantwortliche Person meldet. Wir bauen diese Nachweispfade in den Werkzeugen, die ein Unternehmen bereits nutzt, und trennen Nachweis von Bewertung: Die rechtliche Auslegung bleibt bei den Rechtsanwälten des Kunden.

Im Oktober 2026 jede britische Gesellschaft im Konzern auf Directors und kontrollierende Personen prüfen, deren Identitätsprüfung noch aussteht, und Confirmation Statements frühzeitig einreichen, wo die Übergangsfrist bald endet.

Bis November 2026 die Produktkennungen in EU-Paketanmeldungen sicherstellen und festlegen, welche Produkte mit digitalen Elementen das Unternehmen herstellt, damit der Meldeweg nach der Cyberresilienz-Verordnung und die Aufzeichnung der Kenntnisnahme innerhalb von 24 Stunden stehen.

Bis Dezember 2026 das Protokoll der Abonnementmitteilungen und den Kündigungsweg für Januar bereit haben, KI-generierte Inhalte auf die erforderliche Kennzeichnung prüfen und Produkthaftungsanwälte fragen, wie die neuen Haftungsregeln die Software behandeln, die das Unternehmen liefert.

Bis Ende Dezember 2026 sollten große und mittlere Marktteilnehmer, die erfasste Rohstoffe auf dem EU-Markt in Verkehr bringen, zu jeder relevanten Bestellung die Referenznummern der Sorgfaltserklärungen hinterlegt haben.

Bis Februar 2027 sollten Importeure die Emissionsdaten oder Standardwerte hinter jeder CBAM-Einfuhr aus 2026 vorliegen haben, und Importeure im Vereinigten Königreich sollten die CBAM-Registrierungsschwelle geprüft haben.

Bis Juni 2027 sollten Kleinst- und Kleinunternehmen unter der Entwaldungsverordnung für den 30. Juni bereit sein, EU-Arbeitgeber mit 150 oder mehr Beschäftigten ihre Entgeltberichte eingereicht haben, und jeder der oben genannten Nachweispfade sollte eine verantwortliche Person, eine Aufbewahrungsregel und einen monatlichen Lückenbericht haben.