De compliancekalender voor 2027 en het bewijs erachter

Complianceprogramma's bij middelgrote ondernemingen leveren meestal beleid op, zoals een beleid voor cyberincidenten, een privacybeleid en een gedragscode voor leveranciers. Toezichthouders, accountants, klanten en rechters stellen steeds vaker een andere vraag: laat zien wat er is gebeurd, wanneer, en wie het besluit nam. Een beleidsdocument kan daar geen antwoord op geven. Logbestanden, tijdstempels, goedkeuringen en bewaarde documenten wel, mits ze op het moment zelf zijn aangemaakt.

De regels die de komende acht maanden ingaan, maken dat concreet. Verschillende ervan hebben termijnen die in uren worden gemeten, leggen de bewijslast bij de onderneming of vereisen gegevens die met een product of zending mee moeten reizen. Bij elke regel is de nuttige vraag in welk systeem het bewijs komt te staan, wie de eigenaar is en of het vandaag al bestaat.

De kalender hieronder behandelt regels die vaak gelden voor ondernemingen die in het Verenigd Koninkrijk en de EU actief zijn. Het is een planningshulpmiddel. Of en hoe een regel van toepassing is, hangt af van de onderneming, en dit artikel is geen juridisch advies. Juristen en adviseurs in elke jurisdictie bevestigen de reikwijdte en de verplichtingen.

Identiteitsverificatie bij Companies House is sinds 18 november 2025 verplicht. Bestuurders die vóór die datum in functie waren, laten zich verifiëren via de eerstvolgende confirmation statement van hun vennootschap die tijdens een overgangsperiode van 12 maanden wordt ingediend; die periode loopt in november 2026 af. Een confirmation statement kan pas worden ingediend als de verificatie van elke bestuurder rond is, en personen met significante zeggenschap hebben hun eigen termijnen van 14 dagen. Een groep met meerdere Britse vennootschappen en buitenlandse bestuurders heeft voor elke rol een aparte deadline.

De arbeidsregels veranderen gefaseerd. De termijnen voor procedures bij het employment tribunal zijn voor zaken die op of na 1 oktober 2026 ontstaan, verlengd van drie naar zes maanden. Vanaf 1 januari 2027 daalt de wachttermijn voor bescherming tegen onredelijk ontslag (ordinary unfair dismissal) naar zes maanden en vervalt het plafond voor de schadevergoeding, en beperkingen op het ontslaan en opnieuw in dienst nemen van personeel om kernvoorwaarden te wijzigen, staan voor dezelfde maand gepland.

Het nieuwe regime voor abonnementsovereenkomsten onder de Digital Markets, Competition and Consumers Act 2024 staat nu gepland voor januari 2027, vervroegd van het voorjaar van 2027, hoewel de uitvoeringsregelgeving en de richtsnoeren nog moesten worden vastgesteld toen de datum werd aangekondigd. Handelaren dragen de bewijslast dat de vereiste kennisgevingen, zoals kennisgevingen over de bedenktijd, zijn verstrekt.

Het Britse mechanisme voor koolstofgrenscorrectie (UK CBAM) start op 1 januari 2027 voor importeurs van aluminium, cement, kunstmest, waterstof, en ijzer en staal die onder het mechanisme vallen, boven een registratiedrempel van £50.000.

Twee onderdelen zijn al van kracht en leveren nu al bewijs op. Onder de Data (Use and Access) Act 2025 heeft elke verwerkingsverantwoordelijke sinds 19 juni 2026 een klachtenprocedure voor gegevensbescherming nodig. Twee wetsvoorstellen liggen nog bij het parlement: de Cyber Security and Resilience Bill, die het Network and Information Systems-regime zou verbreden, en de Commercial Payments Bill over betalingstermijnen en rente bij te late betaling. Geen van beide is al wet.

Productidentificaties worden vanaf 1 november 2026 verplicht in douaneaangiften voor pakketten met een lage waarde, na het recht van €3 per artikel dat op 1 juli 2026 is ingevoerd.

Onder de AI-verordening gelden de transparantieverplichtingen van artikel 50 sinds 2 augustus 2026. De digitale omnibus inzake AI, gepubliceerd in juli 2026, gaf generatieve systemen die al op de markt waren tot 2 december 2026 de tijd om machineleesbare markering toe te passen, voegde vanaf dezelfde datum twee verboden toe en verschoof de verplichtingen voor hoog risico voor toepassingen uit bijlage III, waaronder werving en krediet, naar 2 december 2027.

De nieuwe richtlijn productaansprakelijkheid moet uiterlijk op 9 december 2026 zijn omgezet. De vorige richtlijn wordt met ingang van die datum ingetrokken, maar blijft van toepassing op producten die daarvóór in de handel zijn gebracht. De nieuwe definitie van een product omvat software, waaronder applicaties en AI-systemen.

De ontbossingsverordening geldt vanaf 30 december 2026 voor grote en middelgrote marktdeelnemers en voor micro- en kleine marktdeelnemers die al onder de houtverordening vielen, en vanaf 30 juni 2027 voor de overige micro- en kleine marktdeelnemers.

Onder de cyberweerbaarheidsverordening (Cyber Resilience Act) moeten fabrikanten van producten met digitale elementen sinds 11 september 2026 actief uitgebuite kwetsbaarheden en ernstige incidenten melden, ook voor producten die al op de markt zijn. Een vroegtijdige waarschuwing moet binnen 24 uur na kennisname worden gedaan, een melding binnen 72 uur en een eindverslag later. De belangrijkste verplichtingen van de verordening gelden vanaf 11 december 2027.

CBAM-certificaten voor de import van 2026 komen op 1 februari 2027 in de verkoop. Lidstaten moeten de omnibuswijzigingen in de duurzaamheidsrapportage uiterlijk op 19 maart 2027 omzetten. Werkgevers met 150 of meer werknemers moeten hun eerste rapporten over de genderloonkloof onder de richtlijn loontransparantie uiterlijk op 7 juni 2027 indienen.

Een bewijsspoor heeft vier onderdelen: een bronsysteem, een tijdstempel die door dat systeem wordt aangemaakt, een benoemde eigenaar en een bewaarregel. Toegepast op de kalender levert dat specifieke vastleggingen op.

Bij cybermeldingen onder de cyberweerbaarheidsverordening begint de termijn van 24 uur te lopen zodra de fabrikant kennis krijgt van actieve uitbuiting. Het bewijs is het ticket of de melding die het moment van kennisname vastlegt, het triagebesluit en het indieningskenmerk van het centrale meldplatform. Als de beveiligingstool en het ticketsysteem niet aan elkaar gekoppeld zijn, moet de tijdstempel achteraf worden gereconstrueerd, en juist dat zal een toezichthouder in twijfel trekken.

Bij abonnementen is het bewijs een berichtenlog die laat zien welke herinnering of kennisgeving elke klant is gestuurd, wat de inhoud op die datum was en of het bericht is afgeleverd. Schermafbeeldingen van een sjabloon tonen niet aan dat een bepaalde klant het heeft ontvangen.

Bij de ontbossingsregels is het bewijs het referentienummer van de zorgvuldigheidsverklaring dat bij elke inkooporder en elke partij is vastgelegd, met de geolocatiegegevens die het onderbouwen. Bij CBAM zijn het de emissiegegevens van de installatie of de standaardwaarde die voor elke invoeraangifte is gebruikt. Bij identiteitsverificatie is het een register van de verificatiestatus en de deadline van elke bestuurder en elke persoon met zeggenschap in elke Britse vennootschap van de groep. Bij klachten over gegevensbescherming is het een log van elke klacht, de datum van ontvangstbevestiging, de genomen stappen en de uitkomst.

Hiervoor is geen nieuw platform nodig. Meestal zijn twee of drie systemen nodig die aan elkaar zijn gekoppeld, velden die aan bestaande records worden toegevoegd en een geplande controle die lacunes meldt aan een benoemde eigenaar. Wij bouwen deze sporen binnen de tools die een onderneming al gebruikt, en houden bewijs gescheiden van oordeel: de juridische interpretatie blijft bij de juristen van de klant.

Controleer in oktober 2026 elke Britse vennootschap in de groep op bestuurders en personen met zeggenschap die hun identiteit nog moeten laten verifiëren, en dien confirmation statements vroegtijdig in waar de overgangsperiode bijna afloopt.

Bevestig uiterlijk in november 2026 de productidentificaties op aangiften voor pakketten naar de EU, en stel vast welke producten met digitale elementen de onderneming vervaardigt, zodat de meldroute onder de cyberweerbaarheidsverordening en de vastlegging van kennisname binnen 24 uur geregeld zijn.

Zorg uiterlijk in december 2026 dat de log van abonnementskennisgevingen en de opzegroute klaar zijn voor januari, controleer door AI gegenereerde content op markering waar dat vereist is, en vraag juristen productaansprakelijkheid hoe de nieuwe aansprakelijkheidsregels omgaan met software die de onderneming levert.

Grote en middelgrote marktdeelnemers die onder de verordening vallende grondstoffen op de EU-markt brengen, moeten uiterlijk eind december 2026 bij elke relevante inkooporder het referentienummer van de zorgvuldigheidsverklaring hebben vastgelegd.

Importeurs moeten uiterlijk in februari 2027 beschikken over de emissiegegevens of standaardwaarden achter elke CBAM-invoeraangifte van 2026, en Britse importeurs moeten de registratiedrempel voor CBAM hebben getoetst.

Uiterlijk in juni 2027 moeten micro- en kleine marktdeelnemers onder de ontbossingsverordening klaar zijn voor 30 juni, moeten werkgevers in de EU met 150 of meer werknemers hun beloningsrapporten hebben ingediend, en moet elk bovengenoemd bewijsspoor een eigenaar, een bewaarregel en een maandelijks rapport over lacunes hebben.