2027 uyum takvimi ve arkasındaki kanıtlar

Orta ölçekli şirketlerdeki uyum programları genellikle politikalar üretir: siber olay politikası, veri koruma politikası, tedarikçi davranış kuralları gibi. Düzenleyiciler, denetçiler, müşteriler ve mahkemeler ise giderek farklı bir soru soruyor: ne olduğunu, ne zaman olduğunu ve kimin karar verdiğini bize gösterin. Bir politika bunu yanıtlayamaz. Log kayıtları, zaman damgaları, onaylar ve saklanan belgeler, o anda oluşturulmuş olmaları koşuluyla yanıtlayabilir.

Önümüzdeki sekiz ay içinde gelen kurallar bunu somutlaştırıyor. Bunların birçoğu saatlerle ölçülen süreler, ispat yükünü işletmeye bırakan hükümler ya da bir ürünle veya bir sevkiyatla birlikte taşınması gereken veriler içeriyor. Her biri için yararlı soru, kanıtı hangi sistemin tutacağı, sorumlusunun kim olduğu ve bugün var olup olmadığıdır.

Aşağıdaki takvim, Birleşik Krallık'ta ve AB'de faaliyet gösteren şirketlere sıkça uygulanan kuralları kapsar. Bir planlama aracıdır. Bir kuralın uygulanıp uygulanmadığı ve nasıl uygulandığı işletmeye bağlıdır; bu yazı hukuki danışmanlık niteliği taşımaz. Kapsamı ve yükümlülükleri her yargı alanındaki avukatlar ve danışmanlar teyit eder.

Companies House'ta (Birleşik Krallık şirketler sicili) kimlik doğrulaması 18 Kasım 2025'te zorunlu hale geldi. Bu tarihten önce görevde olan yöneticiler, kimliklerini şirketlerinin 12 aylık geçiş dönemi içinde verilecek bir sonraki teyit beyanı (confirmation statement) üzerinden doğrular; bu dönem Kasım 2026'da sona eriyor. Her yöneticinin doğrulaması tamamlanmadan teyit beyanı verilemez ve önemli kontrol sahibi kişilerin (PSC) kendi 14 günlük süreleri vardır. Birkaç Birleşik Krallık şirketi ve yurt dışında yerleşik yöneticileri olan bir grubun her rol için ayrı bir son tarihi vardır.

İstihdam kuralları aşamalı olarak değişiyor. 1 Ekim 2026 veya sonrasında doğan uyuşmazlıklarda iş mahkemesine başvuru süreleri üç aydan altı aya uzatıldı. 1 Ocak 2027'den itibaren olağan haksız fesih korumasından yararlanmak için gereken hizmet süresi altı aya iniyor ve tazminat tavanı kaldırılıyor; temel koşulları değiştirmek amacıyla çalışanın sözleşmesini feshedip onu yeniden işe almaya yönelik kısıtlamaların da aynı ay yürürlüğe girmesi planlanıyor.

2024 tarihli Dijital Piyasalar, Rekabet ve Tüketiciler Yasası kapsamındaki yeni abonelik sözleşmeleri rejiminin, 2027 baharından öne çekilerek artık Ocak 2027'de başlaması bekleniyor; ancak tarih açıklandığında ikincil mevzuat ve rehberler henüz hazırlanmamıştı. Cayma hakkı bildirimleri gibi zorunlu bildirimlerin yapıldığını ispat yükü tacirlerde olacak.

Birleşik Krallık Sınırda Karbon Düzenleme Mekanizması, kapsamdaki alüminyum, çimento, gübre, hidrojen ile demir ve çelik ürünlerini £50.000'lik kayıt eşiğinin üzerinde ithal edenler için 1 Ocak 2027'de başlıyor.

İki düzenleme zaten yürürlükte ve şimdiden kanıt üretiyor. 2025 tarihli Veri (Kullanım ve Erişim) Yasası uyarınca her veri sorumlusunun 19 Haziran 2026'dan bu yana bir veri koruma şikâyet prosedürüne sahip olması gerekiyor. İki yasa tasarısı hâlâ Parlamento önünde: Ağ ve Bilgi Sistemleri (NIS) rejimini genişletecek Siber Güvenlik ve Dayanıklılık Yasa Tasarısı ile ödeme vadeleri ve gecikme faizine ilişkin Ticari Ödemeler Yasa Tasarısı. İkisi de henüz yasalaşmadı.

1 Temmuz 2026'da getirilen kalem başına €3'lük vergiyi izleyerek, düşük değerli kolilere ilişkin gümrük beyannamelerinde ürün tanımlayıcıları 1 Kasım 2026'dan itibaren zorunlu hale geliyor.

Yapay Zekâ Tüzüğü kapsamında 50. Madde'deki şeffaflık yükümlülükleri 2 Ağustos 2026'dan bu yana uygulanıyor. Temmuz 2026'da yayımlanan Yapay Zekâya İlişkin Dijital Omnibus, piyasada zaten bulunan üretken sistemlere makine tarafından okunabilir işaretleme uygulamaları için 2 Aralık 2026'ya kadar süre tanıdı, aynı tarihten itibaren geçerli iki yasak ekledi ve işe alım ile krediyi içeren Ek III kullanımlarına ilişkin yüksek risk yükümlülüklerini 2 Aralık 2027'ye erteledi.

Yeni Ürün Sorumluluğu Direktifi 9 Aralık 2026'ya kadar iç hukuka aktarılmalıdır. Önceki direktif bu tarihten itibaren yürürlükten kalkıyor, ancak bu tarihten önce piyasaya sürülen ürünlere uygulanmaya devam ediyor. Yeni ürün tanımı, uygulamalar ve yapay zekâ sistemleri dahil yazılımı da kapsıyor.

Ormansızlaşma Tüzüğü (EUDR), büyük ve orta ölçekli işletmecilere ve Kereste Tüzüğü (EUTR) kapsamında zaten bulunan mikro ve küçük işletmecilere 30 Aralık 2026'dan, diğer mikro ve küçük işletmecilere ise 30 Haziran 2027'den itibaren uygulanıyor.

Siber Dayanıklılık Tüzüğü (CRA) kapsamında dijital unsurlar içeren ürünlerin üreticileri, piyasada zaten bulunan ürünler dahil, aktif olarak istismar edilen güvenlik açıklarını ve ciddi olayları 11 Eylül 2026'dan bu yana raporlamak zorunda. Erken uyarı, olaydan haberdar olunduktan sonra 24 saat içinde, bildirim 72 saat içinde, nihai rapor ise daha sonra verilir. Tüzüğün ana yükümlülükleri 11 Aralık 2027'den itibaren uygulanıyor.

2026 ithalatı için SKDM sertifikaları 1 Şubat 2027'de satışa çıkıyor. Üye devletler, sürdürülebilirlik raporlamasına ilişkin Omnibus değişikliklerini 19 Mart 2027'ye kadar iç hukuka aktarmak zorunda. 150 veya daha fazla çalışanı olan işverenler, Ücret Şeffaflığı Direktifi kapsamındaki ilk cinsiyete dayalı ücret farkı raporlarını 7 Haziran 2027'ye kadar sunmak zorunda.

Bir kanıt izinin dört parçası vardır: bir ana kayıt sistemi, o sistemin oluşturduğu bir zaman damgası, adı belli bir sorumlu ve bir saklama kuralı. Takvime uygulandığında belirli kayıtlar ortaya çıkar.

Siber Dayanıklılık Tüzüğü kapsamındaki raporlamada 24 saatlik süre, üreticinin aktif istismardan haberdar olduğu anda işlemeye başlar. Kanıt, haberdar olma anını kaydeden talep kaydı veya uyarı, önceliklendirme kararı ve tek raporlama platformundan alınan başvuru referansıdır. Güvenlik aracı ile talep yönetim sistemi bağlı değilse zaman damgasının sonradan yeniden kurulması gerekir; bir düzenleyicinin sorgulayacağı şey de tam olarak budur.

Aboneliklerde kanıt, her müşteriye hangi hatırlatmanın veya bildirimin gönderildiğini, o tarihteki içeriğini ve teslim edilip edilmediğini gösteren bir mesaj kaydıdır. Bir şablonun ekran görüntüleri, belirli bir müşterinin onu aldığını göstermez.

Ormansızlaşma kurallarında kanıt, her satın alma siparişi ve parti karşısında tutulan durum tespiti beyanı referansı ve onu destekleyen coğrafi konum verisidir. SKDM'de, her ithalat beyannamesi için kullanılan tesis emisyon verisi veya varsayılan değerdir. Kimlik doğrulamasında, gruptaki her Birleşik Krallık şirketinde her yöneticinin ve kontrol sahibinin doğrulama durumunu ve son tarihini gösteren bir kayıttır. Veri koruma şikâyetlerinde, her şikâyetin, alındı tarihinin, atılan adımların ve sonucun kaydıdır.

Bunların hiçbiri yeni bir platform gerektirmez. Genellikle iki veya üç sistemin birbirine bağlanması, mevcut kayıtlara alanlar eklenmesi ve boşlukları adı belli bir sorumluya raporlayan zamanlanmış bir kontrol gerekir. Bu izleri işletmenin zaten kullandığı araçların içinde kurar, kanıtı yorumdan ayrı tutarız: hukuki yorum müşterinin avukatlarında kalır.

Ekim 2026'da gruptaki her Birleşik Krallık şirketinde kimliğini henüz doğrulamamış yönetici ve kontrol sahibi olup olmadığını kontrol edin ve geçiş döneminin kapanmak üzere olduğu yerlerde teyit beyanlarını erken verin.

Kasım 2026'ya kadar AB koli beyannamelerindeki ürün tanımlayıcılarını teyit edin ve işletmenin dijital unsurlar içeren hangi ürünleri ürettiğini belirleyin; böylece Siber Dayanıklılık Tüzüğü raporlama yolu ve 24 saatlik haberdar olma kaydı hazır olur.

Aralık 2026'ya kadar abonelik bildirim kaydını ve iptal yolunu Ocak'a hazır edin, yapay zekâ ile üretilmiş içeriği gerekli yerlerde işaretleme açısından kontrol edin ve işletmenin sağladığı her yazılımın yeni sorumluluk kurallarına göre nasıl değerlendirileceğini ürün hukuku avukatlarına sorun.

Aralık 2026 sonuna kadar, kapsamdaki emtiaları AB piyasasına süren büyük ve orta ölçekli işletmeciler, ilgili her satın alma siparişi karşısında durum tespiti beyanı referanslarını tutuyor olmalıdır.

Şubat 2027'ye kadar ithalatçılar her 2026 SKDM beyannamesinin arkasındaki emisyon verisini veya varsayılan değerleri elinde bulundurmalı, Birleşik Krallık'taki ithalatçılar da SKDM kayıt eşiğini test etmiş olmalıdır.

Haziran 2027'ye kadar Ormansızlaşma Tüzüğü kapsamındaki mikro ve küçük işletmeciler 30 Haziran'a hazır olmalı, 150 veya daha fazla çalışanı olan AB işverenleri ücret raporlarını sunmuş olmalı ve yukarıdaki her kanıt izinin bir sorumlusu, bir saklama kuralı ve aylık bir boşluk raporu bulunmalıdır.