Il calendario della compliance 2027 e le prove che lo sostengono

Nelle imprese di medie dimensioni i programmi di compliance producono di solito policy, come una policy sugli incidenti informatici, una sulla protezione dei dati e un codice di condotta per i fornitori. Autorità di vigilanza, revisori, clienti e tribunali pongono sempre più spesso una domanda diversa: mostrateci che cosa è accaduto, quando e chi ha deciso. Una policy non può rispondere. Log, marcature temporali, approvazioni e documenti conservati possono farlo, purché siano stati creati al momento dei fatti.

Le norme in arrivo nei prossimi otto mesi lo rendono concreto. Diverse prevedono scadenze misurate in ore, oneri della prova a carico dell'impresa o dati che devono accompagnare un prodotto o una spedizione. Per ciascuna, la domanda utile è quale sistema conserverà le prove, chi ne è responsabile e se esistono già oggi.

Il calendario che segue riguarda norme che interessano comunemente le imprese operanti nel Regno Unito e nell'UE. È uno strumento di pianificazione. Se e come una norma si applichi dipende dall'impresa, e il presente articolo non costituisce consulenza legale. Legali e consulenti di ciascuna giurisdizione confermano ambito di applicazione e obblighi.

La verifica dell'identità presso Companies House è diventata obbligatoria il 18 novembre 2025. Gli amministratori in carica prima di quella data effettuano la verifica con la successiva confirmation statement della propria società depositata durante un periodo transitorio di 12 mesi, che termina a novembre 2026. Una confirmation statement non può essere depositata finché la verifica di tutti gli amministratori non è completata, e le persone con controllo significativo hanno proprie finestre di 14 giorni. Un gruppo con diverse società britanniche e amministratori esteri ha una scadenza distinta per ciascun ruolo.

Le norme sul lavoro cambiano per fasi. I termini per adire gli employment tribunal, i tribunali del lavoro britannici, sono passati da tre a sei mesi per le questioni sorte a partire dal 1° ottobre 2026. Dal 1° gennaio 2027 l'anzianità minima per la tutela ordinaria contro il licenziamento illegittimo scende a sei mesi e il tetto all'indennizzo viene eliminato, e per lo stesso mese sono previste restrizioni al licenziamento con successiva riassunzione per modificare condizioni essenziali.

Il nuovo regime dei contratti di abbonamento previsto dal Digital Markets, Competition and Consumers Act 2024 è ora atteso per gennaio 2027, anticipato rispetto alla primavera 2027, anche se al momento dell'annuncio della data la normativa secondaria e le linee guida dovevano ancora essere adottate. Spetterà ai professionisti dimostrare di aver fornito le comunicazioni obbligatorie, come quelle sul diritto di ripensamento.

Il meccanismo britannico di adeguamento del carbonio alle frontiere parte il 1° gennaio 2027 per gli importatori di alluminio, cemento, fertilizzanti, idrogeno, ferro e acciaio soggetti che superano una soglia di registrazione di £50.000.

Due adempimenti sono già operativi e generano prove fin da ora. In base al Data (Use and Access) Act 2025, dal 19 giugno 2026 ogni titolare del trattamento deve disporre di una procedura per i reclami in materia di protezione dei dati. Due disegni di legge sono ancora all'esame del Parlamento: il Cyber Security and Resilience Bill, che amplierebbe il regime Network and Information Systems (NIS), e il Commercial Payments Bill su termini di pagamento e interessi di mora. Nessuno dei due è ancora legge.

Dal 1° novembre 2026 gli identificativi di prodotto diventano obbligatori nelle dichiarazioni doganali per i pacchi di basso valore, dopo il dazio di €3 per articolo introdotto il 1° luglio 2026.

Nell'ambito del regolamento sull'intelligenza artificiale, gli obblighi di trasparenza dell'articolo 50 si applicano dal 2 agosto 2026. L'omnibus digitale sull'IA, pubblicato a luglio 2026, ha concesso ai sistemi generativi già sul mercato tempo fino al 2 dicembre 2026 per applicare la marcatura leggibile dalle macchine, ha aggiunto due divieti dalla stessa data e ha spostato al 2 dicembre 2027 gli obblighi per l'alto rischio relativi agli usi dell'allegato III, che comprendono selezione del personale e credito.

La nuova direttiva sulla responsabilità per danno da prodotti difettosi deve essere recepita entro il 9 dicembre 2026. La direttiva precedente è abrogata da quella data, ma continua ad applicarsi ai prodotti immessi sul mercato prima di essa. La nuova definizione di prodotto comprende il software, incluse le applicazioni e i sistemi di IA.

Il regolamento sulla deforestazione si applica dal 30 dicembre 2026 agli operatori di grandi e medie dimensioni e alle micro e piccole imprese già soggette al regolamento sul legname, e dal 30 giugno 2027 alle altre micro e piccole imprese.

In base al regolamento sulla ciberresilienza (Cyber Resilience Act), dall'11 settembre 2026 i fabbricanti di prodotti con elementi digitali devono segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi, anche per i prodotti già sul mercato. È dovuto un preallarme entro 24 ore dal momento in cui ne vengono a conoscenza, una notifica entro 72 ore e una relazione finale in un secondo momento. Gli obblighi principali del regolamento si applicano dall'11 dicembre 2027.

I certificati CBAM per le importazioni 2026 sono in vendita dal 1° febbraio 2027. Gli Stati membri devono recepire entro il 19 marzo 2027 le modifiche dell'omnibus alla rendicontazione di sostenibilità. I datori di lavoro con 150 o più lavoratori devono presentare entro il 7 giugno 2027 le prime comunicazioni sul divario retributivo di genere previste dalla direttiva sulla trasparenza retributiva.

Una traccia documentale si compone di quattro elementi: un sistema di riferimento, una marcatura temporale generata da quel sistema, un responsabile designato e una regola di conservazione. Applicata al calendario, produce documenti specifici.

Per le segnalazioni previste dal regolamento sulla ciberresilienza, il termine di 24 ore decorre dal momento in cui il fabbricante viene a conoscenza dello sfruttamento attivo. La prova è il ticket o l'allerta che registra il momento della presa di conoscenza, la decisione di triage e il numero di riferimento della trasmissione rilasciato dalla piattaforma unica di segnalazione. Se lo strumento di sicurezza e il sistema di ticketing non sono collegati, la marcatura temporale deve essere ricostruita a posteriori, ed è esattamente ciò che un'autorità contesterà.

Per gli abbonamenti, la prova è un registro dei messaggi che mostra quale promemoria o comunicazione è stato inviato a ciascun cliente, il suo contenuto a quella data e se è stato recapitato. Le schermate di un modello non dimostrano che un determinato cliente lo abbia ricevuto.

Per le norme sulla deforestazione, la prova è il riferimento della dichiarazione di dovuta diligenza associato a ciascun ordine di acquisto e lotto, con i dati di geolocalizzazione che lo supportano. Per il CBAM, sono i dati sulle emissioni dell'impianto o il valore predefinito utilizzati per ciascuna dichiarazione di importazione. Per la verifica dell'identità, è un registro dello stato di verifica e della scadenza di ogni amministratore e persona con controllo significativo in tutte le società britanniche del gruppo. Per i reclami in materia di protezione dei dati, è un registro di ciascun reclamo, della data di presa in carico, delle azioni intraprese e dell'esito.

Nulla di tutto ciò richiede una nuova piattaforma. Di solito servono due o tre sistemi collegati, campi aggiunti ai record esistenti e un controllo programmato che segnali le lacune a un responsabile designato. Costruiamo queste tracce all'interno degli strumenti che l'impresa già utilizza e teniamo le prove separate dalle valutazioni: l'interpretazione giuridica resta in capo ai legali del cliente.

A ottobre 2026, verificare in ogni società britannica del gruppo quali amministratori e persone con controllo significativo debbano ancora verificare la propria identità, e depositare in anticipo le confirmation statement dove il periodo transitorio sta per chiudersi.

Entro novembre 2026, verificare gli identificativi di prodotto nelle dichiarazioni dei pacchi verso l'UE e stabilire quali prodotti con elementi digitali l'impresa fabbrica, così da predisporre il canale di segnalazione previsto dal regolamento sulla ciberresilienza e la registrazione del momento di presa di conoscenza entro 24 ore.

Entro dicembre 2026, preparare per gennaio il registro delle comunicazioni sugli abbonamenti e la procedura di disdetta, verificare la marcatura dei contenuti generati dall'IA dove richiesta e chiedere ai legali esperti di prodotto come le nuove norme sulla responsabilità trattano il software fornito dall'impresa.

Entro la fine di dicembre 2026, gli operatori di grandi e medie dimensioni che immettono sul mercato UE materie prime soggette dovrebbero disporre dei riferimenti delle dichiarazioni di dovuta diligenza per ogni ordine di acquisto pertinente.

Entro febbraio 2027, gli importatori dovrebbero disporre dei dati sulle emissioni o dei valori predefiniti alla base di ciascuna dichiarazione CBAM 2026, e gli importatori britannici dovrebbero aver verificato la soglia di registrazione al CBAM.

Entro giugno 2027, le micro e piccole imprese soggette al regolamento sulla deforestazione dovrebbero essere pronte per il 30 giugno, i datori di lavoro UE con 150 o più lavoratori dovrebbero aver presentato le comunicazioni retributive e ogni traccia documentale sopra descritta dovrebbe avere un responsabile, una regola di conservazione e un report mensile delle lacune.