El calendario de cumplimiento de 2027 y la evidencia que lo respalda

Los programas de cumplimiento de las empresas medianas suelen producir políticas, como una política de incidentes cibernéticos, una de protección de datos y un código de conducta para proveedores. Los reguladores, los auditores, los clientes y los tribunales hacen cada vez más una pregunta distinta: muéstrenos qué ocurrió, cuándo y quién lo decidió. Una política no puede responder a eso. Los registros de actividad, las marcas de tiempo, las aprobaciones y los documentos conservados sí pueden, siempre que se hayan creado en el momento.

Las normas que llegan en los próximos ocho meses lo vuelven concreto. Varias imponen plazos que se miden en horas, cargas de la prueba que recaen en la empresa o datos que deben acompañar a un producto o a un envío. Para cada una, la pregunta útil es qué sistema guardará la evidencia, quién es su responsable y si esa evidencia ya existe hoy.

El calendario que sigue abarca normas que suelen afectar a empresas que operan en el Reino Unido y en la UE. Es una ayuda para la planificación. Que una norma se aplique, y cómo, depende de cada empresa, y este artículo no constituye asesoramiento legal. Los abogados y asesores de cada jurisdicción confirman el alcance y las obligaciones.

La verificación de identidad ante Companies House (registro mercantil británico) es obligatoria desde el 18 de noviembre de 2025. Los administradores que ya ocupaban su cargo antes de esa fecha se verifican con la siguiente declaración de confirmación que presente su sociedad durante un periodo transitorio de 12 meses, que termina en noviembre de 2026. No se puede presentar una declaración de confirmación hasta que todos los administradores estén verificados, y las personas con control significativo tienen sus propios plazos de 14 días. Un grupo con varias sociedades británicas y administradores en el extranjero tiene un plazo distinto para cada cargo.

Las normas laborales cambian por etapas. Los plazos para acudir a los tribunales laborales pasaron de tres a seis meses para los asuntos surgidos a partir del 1 de octubre de 2026. Desde el 1 de enero de 2027, el periodo de antigüedad necesario para reclamar por despido improcedente ordinario baja a seis meses y se elimina el tope de la indemnización, y las restricciones al despido y la recontratación del personal para cambiar condiciones esenciales están previstas para ese mismo mes.

El nuevo régimen de contratos de suscripción de la Digital Markets, Competition and Consumers Act 2024 (la ley británica de mercados digitales, competencia y consumidores) entra ahora en vigor en enero de 2027, adelantado desde la primavera de 2027, aunque cuando se anunció la fecha todavía faltaban la legislación secundaria y la guía. Los comerciantes tendrán la carga de demostrar que entregaron los avisos obligatorios, como los avisos sobre el periodo de desistimiento.

El Mecanismo de Ajuste en Frontera por Carbono del Reino Unido empieza el 1 de enero de 2027 para los importadores de productos sujetos de aluminio, cemento, fertilizantes, hidrógeno, y hierro y acero que superen un umbral de registro de £50.000.

Dos obligaciones ya están vigentes y generan evidencia desde ahora. Con arreglo a la Data (Use and Access) Act 2025 (la ley británica sobre uso y acceso a datos), todo responsable del tratamiento necesita un procedimiento de reclamaciones en materia de protección de datos desde el 19 de junio de 2026. Dos proyectos de ley siguen en el Parlamento: la Cyber Security and Resilience Bill, que ampliaría el régimen de redes y sistemas de información (NIS), y la Commercial Payments Bill, sobre plazos de pago e intereses por mora. Ninguno de los dos es ley todavía.

Los identificadores de producto pasan a ser obligatorios en las declaraciones de aduana de los paquetes de escaso valor desde el 1 de noviembre de 2026, después del derecho de €3 por artículo introducido el 1 de julio de 2026.

En el marco del Reglamento de Inteligencia Artificial de la UE, las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026. El Ómnibus Digital sobre IA, publicado en julio de 2026, dio a los sistemas generativos que ya estaban en el mercado hasta el 2 de diciembre de 2026 para aplicar un marcado legible por máquina, añadió dos prohibiciones a partir de esa misma fecha y trasladó al 2 de diciembre de 2027 las obligaciones de alto riesgo para los usos del anexo III, que incluyen la selección de personal y el crédito.

La nueva Directiva sobre responsabilidad por los daños causados por productos defectuosos debe transponerse antes del 9 de diciembre de 2026. La directiva anterior queda derogada a partir de esa fecha, pero se sigue aplicando a los productos introducidos en el mercado antes de ella. La nueva definición de producto incluye el software, con las aplicaciones y los sistemas de IA.

El Reglamento sobre la deforestación (EUDR) se aplica desde el 30 de diciembre de 2026 a los operadores grandes y medianos, y a los micro y pequeños operadores que ya estaban sujetos al Reglamento de la madera, y desde el 30 de junio de 2027 al resto de los micro y pequeños operadores.

Con arreglo al Reglamento de Ciberresiliencia, los fabricantes de productos con elementos digitales deben notificar desde el 11 de septiembre de 2026 las vulnerabilidades explotadas activamente y los incidentes graves, también para los productos que ya están en el mercado. Una alerta temprana debe enviarse en las 24 horas siguientes a tener conocimiento, una notificación en 72 horas y un informe final más adelante. Las obligaciones principales del Reglamento se aplican a partir del 11 de diciembre de 2027.

Los certificados del Mecanismo de Ajuste en Frontera por Carbono (MAFC) para las importaciones de 2026 salen a la venta el 1 de febrero de 2027. Los Estados miembros deben transponer los cambios del Ómnibus en materia de información sobre sostenibilidad antes del 19 de marzo de 2027. Los empleadores con 150 trabajadores o más deben presentar sus primeros informes sobre la brecha retributiva de género con arreglo a la Directiva sobre transparencia retributiva antes del 7 de junio de 2027.

Un rastro de evidencia tiene cuatro partes: un sistema de registro, una marca de tiempo creada por ese sistema, un responsable con nombre y una regla de conservación. Aplicado al calendario, produce registros concretos.

La notificación de incidentes con arreglo al Reglamento de Ciberresiliencia pone en marcha su plazo de 24 horas cuando el fabricante tiene conocimiento de una explotación activa. La evidencia es el ticket o la alerta que registra el momento en que se tuvo conocimiento, la decisión de triaje y la referencia del envío a la plataforma única de notificación. Si la herramienta de seguridad y el sistema de tickets no están conectados, la marca de tiempo tiene que reconstruirse después, y eso es justamente lo que un regulador cuestionará.

Para las suscripciones, la evidencia es un registro de mensajes que muestre qué recordatorio o aviso se envió a cada cliente, qué decía en esa fecha y si se entregó. Las capturas de pantalla de una plantilla no demuestran que un cliente concreto la recibiera.

Para las normas sobre deforestación, la evidencia es la referencia de la declaración de diligencia debida vinculada a cada orden de compra y a cada lote, con los datos de geolocalización que la respaldan. Para el MAFC, son los datos de emisiones de la instalación o el valor por defecto usados en cada declaración de importación. Para la verificación de identidad, es un registro del estado y el plazo de verificación de cada administrador y cada persona con control en todas las sociedades británicas del grupo. Para las reclamaciones en materia de protección de datos, es un registro de cada reclamación, la fecha del acuse de recibo, las medidas tomadas y el resultado.

Nada de esto requiere una plataforma nueva. Lo habitual es conectar dos o tres sistemas, añadir campos a los registros existentes y programar una comprobación que informe de las lagunas a un responsable con nombre. Construimos estos rastros dentro de las herramientas que la empresa ya usa y mantenemos la evidencia separada del juicio: la interpretación legal queda en manos de los abogados del cliente.

En octubre de 2026, revisar en todas las sociedades británicas del grupo qué administradores y personas con control aún deben verificar su identidad, y presentar antes de tiempo las declaraciones de confirmación cuando el periodo transitorio esté por cerrarse.

Para noviembre de 2026, confirmar los identificadores de producto en las declaraciones de paquetes en la UE y decidir qué productos con elementos digitales fabrica la empresa, para que la vía de notificación del Reglamento de Ciberresiliencia y el registro del conocimiento en 24 horas estén listos.

Para diciembre de 2026, tener listos para enero el registro de avisos de suscripción y la vía de cancelación, revisar que el contenido generado por IA lleve el marcado donde se exija y preguntar a los abogados especializados en productos cómo tratan las nuevas normas de responsabilidad el software que suministra la empresa.

Antes de que termine diciembre de 2026, los operadores grandes y medianos que introducen en el mercado de la UE materias primas sujetas a la norma deben tener las referencias de las declaraciones de diligencia debida vinculadas a cada orden de compra correspondiente.

Para febrero de 2027, los importadores deben tener los datos de emisiones o los valores por defecto que respaldan cada declaración del MAFC de 2026, y los importadores británicos deben haber comprobado el umbral de registro del mecanismo del Reino Unido.

Para junio de 2027, los micro y pequeños operadores sujetos al Reglamento sobre la deforestación deben estar listos para el 30 de junio, los empleadores de la UE con 150 trabajadores o más deben haber presentado sus informes retributivos, y cada rastro de evidencia descrito aquí debe tener un responsable, una regla de conservación y un informe mensual de lagunas.