2027年のコンプライアンス・カレンダーとそれを裏づける証跡

中堅企業のコンプライアンス・プログラムは通常、サイバーインシデント対応方針、データ保護方針、サプライヤー行動規範といったポリシーを生み出します。しかし規制当局、監査人、顧客、裁判所が問うのは、次第に別の問いになっています。何が、いつ起き、誰が判断したのかを示してください、という問いです。ポリシーではそれに答えられません。答えられるのはログ、タイムスタンプ、承認記録、保存された文書です。ただし、それらが当時作成されていることが条件です。

今後8か月の間に施行されるルールは、このことを具体的に示しています。時間単位で計測される期限を伴うもの、立証責任が事業者の側にあるもの、製品や貨物とともにデータが受け渡されなければならないものがいくつもあります。それぞれについて問うべきは、どのシステムが証拠を保持し、誰がその責任者で、それが現時点で存在するかどうかです。

以下のカレンダーは、英国とEUで事業を行う企業に一般的に関わるルールを取り上げています。これは計画のための資料です。ルールが適用されるか、どのように適用されるかは事業によって異なり、本稿は法的助言を提供するものではありません。適用範囲と義務については、各法域の弁護士や助言者が確認します。

英国企業登記局（Companies House）での本人確認は、2025年11月18日に義務化されました。それ以前から在任している取締役は、12か月の移行期間中に提出する自社の次回の確認書（confirmation statement）を通じて本人確認を行い、この移行期間は2026年11月に終了します。すべての取締役の本人確認が完了するまで確認書は提出できず、重要な支配権を有する者（PSC）にはそれぞれ14日間の期限が設けられています。英国に複数の会社を持ち、海外在住の取締役がいるグループでは、役職ごとに別々の期限があります。

雇用関連のルールは段階的に変わります。2026年10月1日以降に生じた事案については、雇用審判所への申立期限が3か月から6か月に延長されました。2027年1月1日からは、通常の不公正解雇の申立てに必要な勤続期間が6か月に短縮され、補償の上限が撤廃されます。中核的な労働条件を変更するために従業員を解雇して再雇用することへの制限も、同じ月に予定されています。

2024年デジタル市場・競争・消費者法に基づく新たなサブスクリプション契約規制は、2027年春から前倒しされ、2027年1月に開始される予定です。ただし、その日付が発表された時点で、二次法令とガイダンスはまだ整備されていませんでした。クーリングオフの通知など、必要な通知を行ったことを示す立証責任は事業者が負います。

英国の炭素国境調整メカニズム（CBAM）は2027年1月1日に始まり、登録しきい値の£50,000を超えて対象となるアルミニウム、セメント、肥料、水素、鉄鋼の製品を輸入する事業者が対象です。

すでに施行され、いま証拠を生み出している項目が二つあります。2025年データ（利用・アクセス）法のもとで、2026年6月19日からすべての管理者にデータ保護に関する苦情処理手続きが求められています。議会には二つの法案が残っています。ネットワーク・情報システム（NIS）規制の対象を広げるサイバーセキュリティ・レジリエンス法案と、支払条件と支払遅延利息に関する商業支払法案です。いずれもまだ成立していません。

2026年7月1日に導入された1品目あたり€3の関税に続き、2026年11月1日から、少額小包の通関申告に製品識別子の記載が義務づけられます。

AI法のもとでは、第50条の透明性義務が2026年8月2日から適用されています。2026年7月に公表されたAIに関するデジタル・オムニバスは、すでに市場に出ている生成AIシステムに対し、機械可読な表示を付ける期限を2026年12月2日までとし、同日から二つの禁止事項を追加しました。また、採用や与信を含む附属書IIIの用途に関する高リスクの義務を2027年12月2日に延期しました。

新しい製造物責任指令は、2026年12月9日までに国内法化しなければなりません。従来の指令は同日に廃止されますが、それ以前に市場に投入された製品には引き続き適用されます。新たな製品の定義は、アプリケーションやAIシステムを含むソフトウェアにも及びます。

EU森林破壊防止規則（EUDR）は、2026年12月30日から大企業と中堅企業の事業者、およびすでにEU木材規則の対象となっている零細・小規模の事業者に適用され、2027年6月30日からはその他の零細・小規模の事業者にも適用されます。

サイバーレジリエンス法（CRA）のもとで、デジタル要素を含む製品の製造業者は、2026年9月11日から、すでに市場に出ている製品も含め、実際に悪用されている脆弱性と重大なインシデントを報告しなければなりません。認識してから24時間以内に早期警告を、72時間以内に通知を行い、その後に最終報告を提出します。同法の主要な義務は2027年12月11日から適用されます。

2026年の輸入分に対するCBAM証書は、2027年2月1日に販売が始まります。加盟国は、サステナビリティ報告に関するオムニバスの改正を2027年3月19日までに国内法化しなければなりません。従業員150人以上の雇用主は、賃金透明性指令に基づく最初の男女間賃金格差の報告を2027年6月7日までに提出する必要があります。

証跡は四つの要素から成ります。基幹となる記録システム、そのシステムが生成したタイムスタンプ、指名された責任者、そして保存期間のルールです。これをカレンダーに当てはめると、具体的な記録が見えてきます。

サイバーレジリエンス法に基づくサイバー報告では、製造業者が実際の悪用を認識した時点で24時間の期限が動き始めます。証拠となるのは、認識した時点を記録したチケットやアラート、トリアージの判断、そして単一の報告プラットフォームから発行された提出番号です。セキュリティツールとチケット管理システムが連携していなければ、タイムスタンプを事後に再構成しなければならず、それこそが規制当局の疑問を招く点です。

サブスクリプションについての証拠は、各顧客にどのリマインダーや通知を送ったか、その日時点の内容、そして配信されたかどうかを示すメッセージのログです。テンプレートのスクリーンショットでは、特定の顧客がそれを受け取ったことは示せません。

森林破壊に関するルールでは、各発注とロットにひもづけて保持するデューデリジェンス・ステートメントの参照番号と、それを裏づける位置情報データが証拠になります。CBAMでは、各輸入申告に用いた施設の排出量データまたはデフォルト値です。本人確認については、グループ内のすべての英国企業について、各取締役と支配者の確認状況と期限をまとめた台帳です。データ保護に関する苦情については、各苦情、受付確認日、講じた措置、結果を記録したログです。

いずれも、新しいプラットフォームを必要とするものではありません。通常必要なのは、二つか三つのシステムの連携、既存の記録への項目の追加、そして欠落を指名された責任者に報告する定期チェックです。私たちはこうした証跡を企業がすでに運用しているツールの中に構築し、証拠と判断を切り離しておきます。法的な解釈は、クライアントの弁護士が担います。

2026年10月、グループ内のすべての英国企業について、まだ本人確認を済ませていない取締役と支配者がいないかを確認し、移行期間の終了が迫っている場合は確認書を早めに提出します。

2026年11月までに、EU向け小包の申告に製品識別子が記載されていることを確認し、自社が製造するデジタル要素を含む製品がどれかを決めて、サイバーレジリエンス法に基づく報告ルートと24時間の認識記録を整えます。

2026年12月までに、1月に向けてサブスクリプションの通知ログと解約ルートを準備し、必要な場合にはAI生成コンテンツに表示が付いているかを確認し、自社が提供するソフトウェアが新たな責任ルールのもとでどう扱われるかを製品分野の弁護士に確認します。

2026年12月末までに、対象となるコモディティをEU市場に投入する大企業と中堅企業の事業者は、関連するすべての発注にデューデリジェンス・ステートメントの参照番号をひもづけておくべきです。

2027年2月までに、輸入者は2026年の各CBAM申告の根拠となる排出量データまたはデフォルト値を保持しておくべきです。英国の輸入者は、CBAMの登録しきい値を確認しておく必要があります。

2027年6月までに、EUDRの対象となる零細・小規模の事業者は6月30日に向けた準備を整え、従業員150人以上のEUの雇用主は賃金報告を提出し、上に挙げたすべての証跡に責任者、保存期間のルール、毎月の欠落報告を備えておくべきです。