2027年合规日历及其背后的证据

中型企业的合规项目通常产出各类政策，例如网络安全事件政策、数据保护政策和供应商行为准则。而监管机构、审计师、客户和法院越来越多地提出另一个问题：请出示发生了什么、在什么时间、由谁决定。政策无法回答这个问题。日志、时间戳、审批记录和留存文件可以回答，前提是它们是在当时生成的。

未来八个月陆续出台的规则让这一点变得具体。其中几项规则的时限以小时计算，有的将举证责任交给企业，有的要求数据随产品或货物一起流转。对每一项规则，真正有用的问题是：哪个系统将保存证据，由谁负责，以及这些证据今天是否已经存在。

下面的日历涵盖在英国和欧盟经营的企业通常会涉及的规则，仅作为规划参考。某项规则是否适用以及如何适用，取决于企业的具体情况，本文不构成法律建议。适用范围和义务应由各司法管辖区的律师和顾问确认。

英国公司注册处的身份验证自2025年11月18日起成为强制要求。在该日期之前已在任的董事，须在为期12个月的过渡期内，通过公司下一次提交的确认声明完成验证，过渡期于2026年11月结束。在每位董事都完成验证之前，确认声明无法提交；具有重大控制权的人士则各有14天的验证窗口。一个拥有多家英国公司和境外董事的集团，每个职位都有各自的截止日期。

劳动规则分阶段变化。对于2026年10月1日或之后发生的事项，就业法庭的时效期限已从三个月延长至六个月。自2027年1月1日起，普通不公平解雇的资格期缩短至六个月，赔偿上限被取消；针对以解雇后重新雇用的方式变更核心条款的限制，也计划于同月实施。

《2024年数字市场、竞争和消费者法》下的新订阅合同制度，现定于2027年1月实施，较原定的2027年春季提前，但在宣布这一日期时，相关二级立法和指南仍有待制定。经营者将承担举证责任，证明已发出冷静期通知等法定通知。

英国碳边境调节机制自2027年1月1日起实施，适用于进口受管辖的铝、水泥、化肥、氢以及钢铁商品且超过£50,000登记门槛的进口商。

有两项规定已经生效，并且现在就在产生证据。根据《2025年数据（使用和访问）法》，自2026年6月19日起，每一位数据控制者都必须设立数据保护投诉程序。另有两项法案仍在议会审议中：将扩大网络与信息系统（NIS）制度适用范围的《网络安全与韧性法案》，以及关于付款条件和逾期付款利息的《商业付款法案》。两者都尚未成为法律。

继2026年7月1日开征每件€3的关税之后，自2026年11月1日起，低价值包裹的海关申报中必须填写产品标识符。

根据《人工智能法》，第50条的透明度义务自2026年8月2日起已经适用。2026年7月公布的《人工智能数字综合条例》，给予已在市场上的生成式系统至2026年12月2日的期限来采用机器可读标识，自同一日期起增加了两项禁止性规定，并将附件三所列用途（包括招聘和信贷）的高风险义务推迟至2027年12月2日。

新的《产品责任指令》必须在2026年12月9日前完成转化。原指令自该日起废止，但对在此之前投放市场的产品继续适用。新的产品定义涵盖软件，包括应用程序和AI系统。

《欧盟毁林条例》（EUDR）自2026年12月30日起适用于大型和中型经营者，以及已受《欧盟木材条例》管辖的微型和小型经营者；自2027年6月30日起适用于其他微型和小型经营者。

根据《网络韧性法案》，自2026年9月11日起，含数字元素产品的制造商必须报告被积极利用的漏洞和严重事件，包括已在市场上的产品。须在知悉后24小时内发出早期预警，72小时内提交通报，之后再提交最终报告。该法案的主要义务自2027年12月11日起适用。

涵盖2026年进口的CBAM证书将于2027年2月1日开始出售。成员国必须在2027年3月19日前完成对可持续发展报告综合修订内容的转化。拥有150名及以上员工的雇主，必须在2027年6月7日前根据《薪酬透明度指令》提交首份性别薪酬差距报告。

一条证据链由四个部分组成：一个记录系统，一个由该系统生成的时间戳，一位指定负责人，以及一条留存规则。将其应用于上述日历，就会得出具体的记录。

根据《网络韧性法案》，网络安全报告的24小时时限，从制造商知悉漏洞被积极利用时开始计算。证据是记录知悉时刻的工单或告警、分级处置决定，以及统一报告平台返回的提交编号。如果安全工具与工单系统没有打通，时间戳就只能事后重建，而这恰恰是监管机构会质疑的地方。

对于订阅业务，证据是一份消息日志，显示每位客户收到了哪条提醒或通知、该通知在当日的内容以及是否送达。模板截图并不能证明某位特定客户收到了通知。

对于毁林规则，证据是对应每张采购订单和每个批次保存的尽职调查声明编号，以及支撑该声明的地理定位数据。对于CBAM，证据是每一笔进口报关所采用的设施排放数据或默认值。对于身份验证，证据是一份登记表，记录集团内每家英国公司每位董事和控制人的验证状态及截止日期。对于数据保护投诉，证据是一份日志，记录每项投诉、确认收到的日期、采取的措施和处理结果。

这些都不需要新的平台。通常只需要打通两三个系统，在现有记录中增加字段，并设置一项定期检查，将缺口报告给指定负责人。我们在企业已在使用的工具中搭建这些证据链，并将证据与判断分开：法律解释由客户的律师负责。

2026年10月，检查集团内每家英国公司是否还有董事和控制人尚未完成身份验证，对于过渡期即将结束的公司，尽早提交确认声明。

2026年11月前，确认欧盟包裹申报中已填写产品标识符，并确定企业制造的哪些产品属于含数字元素的产品，以便建立《网络韧性法案》的报告途径和24小时知悉记录。

2026年12月前，为1月准备好订阅通知日志和取消途径，检查AI生成内容是否已按要求加以标识，并向产品责任律师咨询新的责任规则如何看待企业提供的任何软件。

2026年12月底前，将受管辖商品投放欧盟市场的大型和中型经营者，应为每一张相关采购订单保存尽职调查声明编号。

2027年2月前，进口商应掌握每一笔2026年CBAM报关所依据的排放数据或默认值，英国进口商应已检验是否触及CBAM登记门槛。

2027年6月前，《欧盟毁林条例》下的微型和小型经营者应为6月30日做好准备，拥有150名及以上员工的欧盟雇主应已提交薪酬报告，上述每一条证据链都应有负责人、留存规则和每月缺口报告。