Календарь комплаенса на 2027 год и доказательная база за ним

Программы комплаенса в компаниях среднего размера обычно порождают политики: политику реагирования на киберинциденты, политику защиты данных, кодекс поведения поставщиков. Регуляторы, аудиторы, клиенты и суды всё чаще задают другой вопрос: покажите, что произошло, когда и кто принял решение. Политика на него не ответит. Ответят журналы, отметки времени, согласования и сохранённые документы, при условии что они были созданы в тот момент.

Правила, которые вступают в силу в ближайшие восемь месяцев, делают это вполне конкретным. Некоторые из них содержат сроки, измеряемые часами, возлагают бремя доказывания на компанию или требуют, чтобы данные сопровождали продукт или отгрузку. Для каждого правила полезно спросить, в какой системе будут храниться доказательства, кто за них отвечает и существуют ли они уже сегодня.

Приведённый ниже календарь охватывает правила, которые обычно затрагивают компании, работающие в Великобритании и ЕС. Это инструмент планирования. Применяется ли правило и как именно, зависит от бизнеса, и эта статья не является юридической консультацией. Сферу применения и обязательства подтверждают юристы и консультанты в каждой юрисдикции.

Проверка личности в Companies House (реестре компаний Великобритании) стала обязательной 18 ноября 2025 года. Директора, занимавшие должность до этой даты, проходят проверку при подаче очередного подтверждающего заявления (confirmation statement) своей компании в течение 12-месячного переходного периода, который заканчивается в ноябре 2026 года. Подтверждающее заявление нельзя подать, пока проверку не прошли все директора, а у лиц со значительным контролем свои 14-дневные окна. У группы с несколькими британскими компаниями и иностранными директорами отдельный срок для каждой роли.

Правила трудовых отношений меняются поэтапно. Срок обращения в трудовой трибунал увеличен с трёх до шести месяцев для споров, возникших 1 октября 2026 года или позднее. С 1 января 2027 года стаж, необходимый для защиты от обычного несправедливого увольнения, сокращается до шести месяцев, а предельный размер компенсации отменяется; на тот же месяц запланированы ограничения на увольнение сотрудников с последующим повторным наймом ради изменения существенных условий.

Новый режим договоров подписки по Закону о цифровых рынках, конкуренции и потребителях 2024 года (Digital Markets, Competition and Consumers Act 2024) теперь должен вступить в силу в январе 2027 года вместо весны 2027 года, хотя на момент объявления даты подзаконные акты и руководства ещё предстояло принять. Бремя доказывания того, что обязательные уведомления, например уведомления о периоде охлаждения, были направлены, будет лежать на продавцах.

Британский механизм трансграничного углеродного регулирования (CBAM) начинает действовать 1 января 2027 года для импортёров охватываемых товаров из алюминия, цемента, удобрений, водорода, чугуна и стали при превышении порога регистрации в £50 000.

Два требования уже действуют и порождают доказательства прямо сейчас. Согласно Закону о данных (использование и доступ) 2025 года (Data (Use and Access) Act 2025), с 19 июня 2026 года каждый оператор данных обязан иметь процедуру рассмотрения жалоб в сфере защиты данных. Два законопроекта по-прежнему находятся на рассмотрении парламента: законопроект о кибербезопасности и устойчивости (Cyber Security and Resilience Bill), который расширит режим регулирования сетей и информационных систем (NIS), и законопроект о коммерческих платежах (Commercial Payments Bill), касающийся сроков оплаты и процентов за просрочку. Ни один из них пока не стал законом.

С 1 ноября 2026 года идентификаторы товаров становятся обязательными в таможенных декларациях на недорогие посылки, вслед за пошлиной €3 за единицу товара, введённой 1 июля 2026 года.

Согласно Регламенту ЕС об искусственном интеллекте (AI Act), обязанности по прозрачности по статье 50 применяются со 2 августа 2026 года. Цифровой омнибус по ИИ, опубликованный в июле 2026 года, дал генеративным системам, уже находящимся на рынке, срок до 2 декабря 2026 года для внедрения машиночитаемой маркировки, добавил с той же даты два запрета и перенёс обязательства для систем высокого риска из Приложения III, к которым относятся подбор персонала и кредитование, на 2 декабря 2027 года.

Новая Директива об ответственности за продукцию должна быть перенесена в национальное законодательство до 9 декабря 2026 года. Прежняя директива с этой даты отменяется, но продолжает применяться к продукции, выпущенной на рынок до неё. Новое определение продукции охватывает программное обеспечение, включая приложения и системы ИИ.

Регламент ЕС об обезлесении (EUDR) применяется с 30 декабря 2026 года к крупным и средним операторам, а также к микро- и малым операторам, на которых уже распространяется Регламент ЕС о древесине, а с 30 июня 2027 года к остальным микро- и малым операторам.

Согласно Регламенту ЕС о киберустойчивости (Cyber Resilience Act), с 11 сентября 2026 года производители продуктов с цифровыми элементами обязаны сообщать об активно эксплуатируемых уязвимостях и серьёзных инцидентах, в том числе по продуктам, которые уже находятся на рынке. Раннее предупреждение направляется в течение 24 часов с момента, когда производителю стало известно о проблеме, уведомление в течение 72 часов, а итоговый отчёт позднее. Основные обязательства по регламенту применяются с 11 декабря 2027 года.

Сертификаты CBAM на импорт 2026 года поступят в продажу 1 февраля 2027 года. Государства-члены должны перенести в национальное законодательство изменения Омнибуса в отношении отчётности в области устойчивого развития до 19 марта 2027 года. Работодатели с численностью 150 работников и более должны подать первые отчёты о гендерном разрыве в оплате труда по Директиве о прозрачности оплаты труда до 7 июня 2027 года.

Доказательная база состоит из четырёх частей: учётной системы, отметки времени, созданной этой системой, назначенного ответственного и правила хранения. Применительно к календарю это даёт вполне конкретные записи.

Для сообщений по Регламенту о киберустойчивости 24-часовой отсчёт начинается с момента, когда производителю стало известно об активной эксплуатации уязвимости. Доказательством служат заявка или оповещение, фиксирующие этот момент, решение по итогам первичного анализа и номер подачи на единой платформе отчётности. Если инструмент безопасности и система заявок не связаны, отметку времени приходится восстанавливать задним числом, а именно это регулятор и поставит под сомнение.

Для подписок доказательством служит журнал сообщений, показывающий, какое напоминание или уведомление было направлено каждому клиенту, каким было его содержание на ту дату и было ли оно доставлено. Скриншоты шаблона не доказывают, что конкретный клиент его получил.

Для правил об обезлесении доказательством служит номер заявления о должной осмотрительности, привязанный к каждому заказу на закупку и партии, вместе с подтверждающими данными геолокации. Для CBAM это данные о выбросах установки или значение по умолчанию, использованные для каждой импортной декларации. Для проверки личности это реестр статусов проверки и сроков по каждому директору и контролирующему лицу во всех британских компаниях группы. Для жалоб в сфере защиты данных это журнал каждой жалобы с датой подтверждения получения, предпринятыми шагами и результатом.

Ничто из этого не требует новой платформы. Обычно нужно связать две или три системы, добавить поля в существующие записи и настроить плановую проверку, которая сообщает о пробелах назначенному ответственному. Мы выстраиваем такую доказательную базу в инструментах, которые у компании уже есть, и отделяем доказательства от оценок: юридическое толкование остаётся за юристами клиента.

В октябре 2026 года проверьте по каждой британской компании группы, остались ли директора и контролирующие лица, которым ещё предстоит пройти проверку личности, и подайте подтверждающие заявления заранее там, где переходный период вот-вот закончится.

К ноябрю 2026 года убедитесь, что в декларациях на посылки в ЕС указаны идентификаторы товаров, и определите, какие продукты с цифровыми элементами производит компания, чтобы были готовы порядок подачи сообщений по Регламенту о киберустойчивости и фиксация 24-часового срока с момента осведомлённости.

К декабрю 2026 года подготовьте к январю журнал уведомлений по подпискам и способ отмены, проверьте, промаркирован ли там, где это требуется, контент, созданный ИИ, и узнайте у юристов по ответственности за продукцию, как новые правила применяются к программному обеспечению, которое поставляет компания.

К концу декабря 2026 года крупные и средние операторы, выпускающие на рынок ЕС охватываемые сырьевые товары, должны иметь номера заявлений о должной осмотрительности по каждому соответствующему заказу на закупку.

К февралю 2027 года импортёрам следует иметь данные о выбросах или значения по умолчанию по каждой декларации CBAM за 2026 год, а британским импортёрам проверить порог регистрации в CBAM.

К июню 2027 года микро- и малые операторы, подпадающие под Регламент об обезлесении, должны быть готовы к 30 июня, работодатели в ЕС с численностью от 150 работников должны подать отчёты об оплате труда, а у каждого элемента доказательной базы, описанного выше, должны быть ответственный, правило хранения и ежемесячный отчёт о пробелах.