2027년 규제 준수 일정과 이를 뒷받침하는 증빙

중견기업의 규제 준수 프로그램은 대개 사이버 사고 대응 정책, 개인정보 보호 정책, 공급업체 행동 강령 같은 정책을 만들어 냅니다. 그런데 규제 당국, 감사인, 고객, 법원은 점점 다른 질문을 던집니다. 무슨 일이 언제 있었고 누가 결정했는지 보여 달라는 것입니다. 정책은 이 질문에 답할 수 없습니다. 로그, 타임스탬프, 승인 기록, 보관 문서는 당시에 만들어졌다면 답할 수 있습니다.

향후 8개월 동안 시행되는 규정들이 이를 구체적으로 보여 줍니다. 몇몇 규정은 시간 단위로 재는 기한을 두거나, 입증 책임을 기업에 지우거나, 제품이나 화물과 함께 이동해야 하는 데이터를 요구합니다. 각 규정에 대해 물어야 할 실질적인 질문은 어느 시스템이 증빙을 보관하는지, 누가 책임지는지, 그리고 그 증빙이 지금 존재하는지입니다.

아래 일정은 영국과 EU에서 사업하는 기업에 흔히 적용되는 규정을 다룹니다. 계획 수립을 위한 참고 자료입니다. 규정의 적용 여부와 방식은 사업에 따라 다르며, 이 글은 법률 자문을 제공하지 않습니다. 적용 범위와 의무는 각 관할권의 변호사와 자문가가 확인합니다.

영국 기업등록청(Companies House)의 신원 확인은 2025년 11월 18일 의무화되었습니다. 그 이전부터 재임 중인 이사는 12개월 경과 기간 중 제출하는 회사의 다음 확인서(confirmation statement)를 통해 신원을 확인하며, 이 경과 기간은 2026년 11월에 끝납니다. 모든 이사의 신원 확인이 완료되기 전에는 확인서를 제출할 수 없으며, 실질적 지배자(PSC)에게는 별도의 14일 기한이 있습니다. 영국 법인이 여럿이고 해외 이사가 있는 그룹은 직위마다 기한이 따로 있습니다.

고용 관련 규정은 단계적으로 바뀝니다. 2026년 10월 1일 이후 발생한 사안부터 고용심판소 제소 기한이 3개월에서 6개월로 늘어났습니다. 2027년 1월 1일부터는 일반 부당해고 청구의 자격 요건인 근속 기간이 6개월로 줄고 보상금 상한이 폐지되며, 핵심 근로조건을 바꾸기 위해 해고 후 재고용하는 관행에 대한 제한도 같은 달 시행될 예정입니다.

「2024년 디지털시장·경쟁·소비자법」에 따른 새 구독 계약 제도는 2027년 봄에서 앞당겨져 이제 2027년 1월 시행 예정입니다. 다만 날짜가 발표된 시점에는 하위 법령과 지침이 아직 마련되지 않은 상태였습니다. 사업자는 청약철회 고지 같은 필수 고지를 했다는 사실을 스스로 입증할 책임을 지게 됩니다.

영국 탄소국경조정제도(CBAM)는 2027년 1월 1일, 등록 기준 금액 £50,000를 넘는 대상 알루미늄, 시멘트, 비료, 수소, 철강 제품 수입업체를 대상으로 시작됩니다.

이미 시행되어 지금 증빙을 만들어 내고 있는 항목도 두 가지 있습니다. 「2025년 데이터(이용 및 접근)법」에 따라 2026년 6월 19일부터 모든 개인정보 처리자는 개인정보 보호 관련 민원 처리 절차를 갖추어야 합니다. 의회에는 법안 두 건이 계류 중입니다. 네트워크·정보시스템(NIS) 규제를 확대하는 사이버보안·회복탄력성 법안(Cyber Security and Resilience Bill), 그리고 결제 조건과 연체 이자에 관한 상거래대금지급법안(Commercial Payments Bill)입니다. 둘 다 아직 법률이 아닙니다.

2026년 7월 1일 도입된 품목당 €3의 관세에 이어, 2026년 11월 1일부터 소액 소포의 통관 신고에 제품 식별자 기재가 의무화됩니다.

인공지능법에 따라 제50조의 투명성 의무는 2026년 8월 2일부터 적용되고 있습니다. 2026년 7월 공표된 AI 디지털 옴니버스는 이미 시장에 나와 있는 생성형 시스템에 기계 판독 가능 표시를 적용할 기한을 2026년 12월 2일까지로 정하고, 같은 날부터 두 가지 금지 조항을 추가했으며, 채용과 신용 등이 포함된 부속서 III 용도의 고위험 의무 적용일을 2027년 12월 2일로 늦췄습니다.

새 EU 제조물책임지침은 2026년 12월 9일까지 국내법으로 전환되어야 합니다. 기존 지침은 그날부로 폐지되지만, 그 이전에 시장에 출시된 제품에는 계속 적용됩니다. 새 제품 정의에는 애플리케이션과 AI 시스템을 포함한 소프트웨어가 포함됩니다.

EU 산림전용방지규정(EUDR)은 대기업과 중기업, 그리고 이미 EU 목재규정의 적용을 받던 영세·소기업에 2026년 12월 30일부터 적용되고, 그 밖의 영세·소기업에는 2027년 6월 30일부터 적용됩니다.

EU 사이버복원력법(CRA)에 따라 디지털 요소를 갖춘 제품의 제조업체는 2026년 9월 11일부터 이미 시장에 나와 있는 제품을 포함해, 실제로 악용되고 있는 취약점과 중대한 사고를 보고해야 합니다. 인지한 시점부터 24시간 이내에 조기 경보를, 72시간 이내에 통지를 제출하고, 이후 최종 보고서를 제출합니다. 이 법의 주요 의무는 2027년 12월 11일부터 적용됩니다.

2026년 수입분에 대한 CBAM 인증서는 2027년 2월 1일부터 판매됩니다. 회원국은 지속가능성 공시에 관한 옴니버스 개정 사항을 2027년 3월 19일까지 국내법으로 전환해야 합니다. 근로자 150명 이상의 사용자는 임금투명성지침에 따른 첫 성별 임금 격차 보고서를 2027년 6월 7일까지 제출해야 합니다.

증빙 추적 체계는 네 부분으로 구성됩니다. 기준 시스템, 그 시스템이 생성한 타임스탬프, 지정된 책임자, 보관 규칙입니다. 이를 위 일정에 적용하면 구체적인 기록이 나옵니다.

사이버복원력법에 따른 사이버 보고는 제조업체가 실제 악용 사실을 인지한 순간 24시간 기한이 시작됩니다. 증빙은 인지 시점을 기록한 티켓이나 경보, 분류 판단, 그리고 단일 보고 플랫폼에서 받은 제출 참조 번호입니다. 보안 도구와 티켓 시스템이 연결되어 있지 않으면 타임스탬프를 사후에 재구성해야 하며, 규제 당국이 문제 삼는 것이 바로 그 부분입니다.

구독의 경우 증빙은 각 고객에게 어떤 안내나 고지를 보냈는지, 그 날짜의 내용이 무엇이었는지, 전달되었는지를 보여 주는 메시지 로그입니다. 템플릿 화면을 캡처한 것만으로는 특정 고객이 그것을 받았다는 사실이 증명되지 않습니다.

산림전용방지 규정의 경우 증빙은 각 구매 주문과 로트에 연결된 실사 신고서 참조 번호와 이를 뒷받침하는 지리 위치 데이터입니다. CBAM의 경우 각 수입 신고에 사용한 설비 배출량 데이터나 기본값입니다. 신원 확인의 경우 그룹 내 모든 영국 법인에 걸쳐 각 이사와 지배자의 확인 상태와 기한을 정리한 대장입니다. 개인정보 보호 민원의 경우 각 민원, 접수 확인 날짜, 취한 조치, 결과를 기록한 로그입니다.

이 중 어느 것도 새 플랫폼이 필요하지 않습니다. 대개 두세 개 시스템을 연결하고, 기존 기록에 필드를 추가하고, 공백을 지정된 책임자에게 알리는 정기 점검을 두면 됩니다. 저희는 기업이 이미 쓰고 있는 도구 안에 이러한 추적 체계를 구축하며, 증빙과 판단을 분리합니다. 법적 해석은 고객의 변호사가 맡습니다.

2026년 10월에는 그룹 내 모든 영국 법인에서 아직 신원 확인을 마치지 않은 이사와 지배자를 점검하고, 경과 기간 종료가 임박한 곳은 확인서를 조기에 제출합니다.

2026년 11월까지, EU 소포 신고에 제품 식별자가 기재되는지 확인하고, 회사가 제조하는 제품 중 디지털 요소를 갖춘 제품이 무엇인지 정해 사이버복원력법 보고 경로와 24시간 인지 기록 체계를 갖춥니다.

2026년 12월까지, 1월에 대비해 구독 고지 로그와 해지 경로를 준비하고, 필요한 경우 AI 생성 콘텐츠의 표시 여부를 점검하며, 회사가 공급하는 소프트웨어를 새 제조물책임 규정이 어떻게 다루는지 제조물 전문 변호사에게 문의합니다.

2026년 12월 말까지, 대상 원자재를 EU 시장에 출시하는 대기업과 중기업은 관련된 모든 구매 주문에 실사 신고서 참조 번호를 연결해 두어야 합니다.

2027년 2월까지, 수입업체는 2026년 CBAM 신고 건별로 근거가 되는 배출량 데이터나 기본값을 확보해야 하며, 영국 수입업체는 CBAM 등록 기준 금액 해당 여부를 확인해야 합니다.

2027년 6월까지, 산림전용방지규정의 적용을 받는 영세·소기업은 6월 30일에 대비해야 하고, 근로자 150명 이상의 EU 사용자는 임금 보고서를 제출해야 하며, 위의 모든 증빙 추적 체계에는 책임자, 보관 규칙, 월간 공백 보고가 갖춰져 있어야 합니다.