e-Evidence Compliance Checklist: Is Your Organisation Ready Now the Regulation Applies?

Сайт Постановление ЕС об электронных доказательствах (ЕС) 2023/1543 has applied directly across the participating Member States since 18 августа 2026 года. For online service providers, this is one of the most significant cross-border compliance shifts since the GDPR. From 18 August 2026, authorities in the participating Member States (all except Denmark) can issue European Production Orders (sent as EPOC certificates) and European Preservation Orders (sent as EPOC-PR certificates) directly to service providers once their national implementation is in place, with binding deadlines measured in hours, not weeks. Most Member States are still completing it: in September 2026 the Commission listed only six as legally ready and only Germany and Ireland as technically ready to receive orders through the system. Until the others are live, orders may arrive through secure alternative channels.

Если ваша организация предоставляет пользователям в ЕС услуги электронных коммуникаций, хостинга, облачных вычислений, социальных сетей, торговых площадок, доменов или IP-номеров, вы почти наверняка подпадаете под действие закона - даже если ваш головной офис находится за пределами Союза. Несоблюдение требований может повлечь за собой штрафы в размере до 2% мирового годового оборота, enforcement by the authorities of the Member State where your designated establishment or legal representative is located, and serious reputational damage.

Этот всеобъемлющий Контрольный список соответствия электронным доказательствам walks you through the legal, organisational, technical and operational requirements you should evaluate now, so you can identify gaps, prioritise remediation and be demonstrably ready now that the Regulation applies.

Что представляет собой Постановление ЕС об электронных доказательствах?

Regulation (EU) 2023/1543 — together with its companion Directive (EU) 2023/1544 — establishes a harmonised legal framework that allows competent judicial authorities in one Member State to obtain electronic evidence directly from service providers established or represented in another Member State. It adds a fast, standardised mechanism designed for the realities of cloud-era investigations alongside the slower European Investigation Order and mutual legal assistance procedures.

Постановление вводит два основных инструмента. Сайт European Production Order заставляет провайдера предоставлять определенные электронные данные, в то время как European Preservation Order compels a provider to preserve data pending a follow-up production request or MLA procedure. Both are transmitted through the EU’s decentralised IT system, whose Member State access points use e-CODEX, as standardised certificates (EPOC and EPOC-PR forms). You connect through the national system of the Member State where your addressee is located, either through the web-based interface or through an API based on ETSI TS 104 144. Evidence above 25 MB is delivered by secure alternative means with a hash-protected manifest.

Кто подпадает под действие Постановления об электронных доказательствах?

Постановление забрасывает заведомо широкую сеть. Вы, скорее всего, являетесь назначенным поставщиком услуг, если предлагаете пользователям, находящимся в ЕС, любые из перечисленных ниже услуг:

• Услуги электронной связи - телефония, обмен сообщениями, электронная почта, VoIP и независимые от номера межличностные коммуникации.
• Услуги по предоставлению доменных имен и IP-номеров в Интернете - реестры, регистраторы, RIR, службы конфиденциальности/прокси и DNS-провайдеры.
• Услуги информационного общества где хранение данных является определяющим компонентом - социальные сети, онлайн-площадки, инструменты для совместной работы и контент-платформы.
• Провайдеры облачных вычислений и хостинга - IaaS, PaaS, SaaS, управляемый хостинг и сети доставки контента.

Крайне важно, что сфера охвата соответствует “тест на ”существенную связь": if EU users can use your service and you target the EU market (for example through localised pricing, language or marketing), you are in scope regardless of where your corporate entity is registered. Non-EU providers must appoint a legal representative in a Member State where they offer services (Directive (EU) 2023/1544).

Четыре категории электронных доказательств

Постановление различает четыре категории данных, каждая из которых имеет свои пороговые значения и гарантии. Ваши рабочие процессы инвентаризации и раскрытия данных должны быть способны точно различать их:

1. Абонентские данные - личные данные, контактную информацию, информацию для выставления счетов и тип используемой услуги.
2. Данные, запрашиваемые исключительно с целью идентификации пользователя — IP addresses and, where necessary, source ports and timestamps, requested only to identify a person.
3. Данные о трафике (кроме категории 2) - журналы соединений, временные метки, источник/назначение, идентификаторы устройств.
4. Данные о содержимом - содержание коммуникаций, сохраненных файлов, сообщений, фотографий и документов.

Абонентские и идентификационные данные могут быть запрошены в связи с любым уголовным преступлением. Данные о трафике и контенте предназначены только для преступлений, за которые предусмотрено максимальное наказание в виде лишения свободы на срок не менее трех лет, или для определенного списка серьезных киберпреступлений, терроризма и сексуального насилия над детьми. Определение того, какие системы относятся к той или иной категории, является одним из наиболее важных - и часто упускаемых из виду - этапов подготовки.

Юридическая и организационная готовность

Ваше первое задание - формальное оценка масштаба. Обоснуйте, какие из ваших услуг подпадают под действие Регламента, какие организации в вашей группе будут получать заказы и какое государство-член ЕС будет выступать в качестве “государства-исполнителя”. Эта оценка должна быть подписана вашим главным юрисконсультом или DPO и пересматриваться ежегодно.

Next, designate one of your own EU establishments as the уполномоченное учреждение (if you are established in the EU) or appoint a законный представитель in a Member State where you offer services (if you are not), and register them with the competent national authority. In Germany, this is the Федеральное управление юстиции (BfJ); other Member States have equivalent designated authorities. Registration is not a formality — it is the legal address where all orders are served, and in Germany failing to notify, or notifying incorrect details, can be fined up to €500,000.

• Назначить названного Ведущий специалист по соблюдению требований к электронным доказательствам с межфункциональными полномочиями в области юриспруденции, безопасности, проектирования и эксплуатации.
• Построить или сохранить специализированная юридическая экспертиза capable of assessing each incoming order for formal defects, immunities or privileges to flag on the Annex III form, possible third-country conflicts (Article 17), and, if enforcement proceedings are started, the objection grounds in Article 16(4), points (a) to (f) (Article 16(5) for preservation orders).
• Build a workflow that recognises EPOCs notified to the enforcing State (traffic and content data) and handles their different timing: transmission at the end of the 10-day window unless a ground for refusal is raised. Integrate it with your case-management tooling.
• Document how you keep orders confidential from the affected user, and how you inform controllers when you act as a processor (Article 5(7)).
• Обновление условия предоставления услуг, уведомления о конфиденциальности и указания по соблюдению закона чтобы отразить новые рамки.

Требования к технической инфраструктуре

Compliance is impossible without the right technical foundations. Service providers must receive, validate and respond to orders through the EU’s decentralised IT system (e-CODEX-based), accessed via their Member State’s national system — the workflow that purpose-built tooling such as the ICS e-Evidence Compliance Platform supports, using the standardised EPOC and EPOC-PR certificates. Manual email or fax-based workflows will not meet the regulatory deadlines.

• Безопасный интерфейс приема — an authenticated connection to your Member State’s national system (the web-based interface or an API based on ETSI TS 104 144) to receive, acknowledge and time-stamp every order.
• Подтверждение личности и заказа - автоматическая проверка цифровых подписей, полномочий выдавшего их органа, целостности сертификата и соответствия категории.
• Обнаружение и извлечение данных - Инструментарий, способный находить данные об абонентах, идентификации, трафике и контенте во всех соответствующих системах в течение нескольких часов, а не дней.
• Standardised delivery — delivery through the decentralised IT system (web interface or API) or, where that is not possible, by secure alternative means, with integrity hashes and in formats the issuing authority can process.
• Зашифрованные каналы доставки — encrypted transmission of evidence to the requesting authority through the decentralised IT system, with verifiable receipt (evidence above 25 MB goes by secure alternative means with a hash-protected manifest).
• Контрольный журнал с контролем вскрытия - криптографически подписанные журналы регистрации каждого действия от приема до доставки, обеспечивающие целостность доказательств и возможность последующей проверки.
• Устойчивость и высокая доступность - резервная инфраструктура, способная обеспечить 8-часовое реагирование на чрезвычайные ситуации в режиме 24/7/365.
• Контроль минимизации данных и ограничения целей - обеспечение раскрытия только того, что было специально заказано, в соответствии со статьей 5 GDPR.

Операционные процессы и время реагирования

Постановление устанавливает строгие, не подлежащие обсуждению сроки ответа которые должны лежать в основе вашей операционной модели:

• Стандартные производственные заказы: данные должны быть переданы в течение 10 дней получения.
• Срочные производственные заказы: в случае непосредственной угрозы жизни, физической целостности или критической инфраструктуре данные должны передаваться в течение 8 часов.
• Приказы о консервации: данные должны быть сохранены для 60 дней, С возможностью продления еще на 30 дней до получения постановления о производстве или запроса MLA.

Для соблюдения этих сроков требуется не только технология, но и отрепетированные, хорошо документированные процессы. Ваш операционный план должен охватывать:

• Круглосуточный прием и сортировка с назначенными дежурными юристами и инженерами.
• Классификация тяжести Различают чрезвычайные, стандартные и охранные ордера.
• Пути эскалации для постановлений, затрагивающих вопросы фундаментальных прав, иммунитетов, свободы прессы или когда издающий их орган, как представляется, действует ultra vires.
• Обеспечение качества с четырехглазым обзором до того, как данные покинут вашу среду.
• Отслеживание возмещения расходов если национальное законодательство позволяет возместить затраты на соблюдение требований.
• Настольные упражнения моделирование сценариев чрезвычайных ситуаций не реже двух раз в год.
• Непрерывное обучение для сотрудников юридической службы, службы безопасности, службы поддержки клиентов и инженерно-технического персонала, которые могут столкнуться с заказами.

Основания для отказа и защита пользователя

The Regulation is not a blank cheque for issuing authorities. Where notified, the enforcing authority has specific, limited grounds to refuse an order, including manifest infringements of the Charter of Fundamental Rights and immunities and privileges under its law. Service providers themselves flag immunities, privileges and formal defects on the Annex III form, raise conflicts with the law of a third country through a reasoned objection (the so-called Article 17 review), and can object to enforcement only on the grounds in Article 16(4)(a)–(f) or 16(5)(a)–(e). Building the legal capacity to identify and invoke these grounds quickly is critical, both to protect your users and to limit your own liability.

Взаимодействие с GDPR, NIS2 и DSA

Электронные доказательства не существуют сами по себе. Раскрытие информации должно оставаться совместимым с GDPR (законность, минимизация, записи об обработке и обязательства по DPIA), а также Директива NIS2 (incident handling and security of network and information systems) and, for intermediary service providers (other than micro and small enterprises), the Закон о цифровых услугах (transparency reporting on orders from authorities). Your compliance programme should treat e-Evidence as an additional layer woven into existing privacy, security and transparency frameworks rather than a stand-alone silo.

Штрафы за несоблюдение

Member States are required to impose effective, proportionate and dissuasive penalties for breaches of the Regulation. Article 15 requires Member States to make pecuniary penalties of up to 2% от общего годового оборота провайдера по всему миру in the preceding financial year available. In Germany, for example, fines reach €500,000, or up to 2% of turnover for providers with turnover above €25 million. Beyond fines, repeated or systemic failures can result in court orders, reputational damage, customer churn, and — for regulated sectors — knock-on consequences for licences and authorisations.

A Practical 6-Month Remediation Roadmap

1. Месяцы 1-2 - обнаружение и оценка пробелов. Подтверждение масштаба, картирование данных, аудит существующих процессов правоприменения, сравнение с требованиями Постановления.
2. Месяцы 2-3 - юридические основы. Назначение учреждения/представителя, регистрация в национальном органе, окончательная доработка политики и обновление контрактов.
3. Месяцы 3-4 - техническое строительство. Connect to your Member State’s national system (web-based interface or ETSI TS 104 144 API), implement validation, extraction and delivery tooling, harden audit logging.
4. Месяцы 4-5 - оперативная готовность. Наберите и обучите команду реагирования, доработайте план действий, проведите тренировки и учения в чрезвычайных ситуациях.
5. Месяц 6 - Обеспечение. Independent compliance audit, board-level sign-off and a go-live rehearsal.

Часто задаваемые вопросы

Более подробную информацию можно найти на нашем сайте FAQ по электронным доказательствам.

Когда применяется Постановление ЕС об электронных доказательствах?

Regulation (EU) 2023/1543 has applied directly in all participating EU Member States (all except Denmark) since 18 августа 2026 года. There is no further national transposition required for the Regulation itself, although the accompanying Directive (EU) 2023/1544 had to be transposed into national law by 18 February 2026, and many Member States were late.

Применяется ли Положение к поставщикам услуг, не входящим в ЕС?

Да. Любой поставщик, предлагающий услуги в ЕС, подпадает под действие закона, независимо от места его регистрации. Поставщики, не входящие в ЕС, должны назначить законного представителя в государстве-члене ЕС для получения и выполнения заказов.

Что произойдет, если я пропущу 8-часовой крайний срок?

Пропуск срока может повлечь за собой принудительное взыскание со стороны компетентного органа государства, применяющего законодательство, включая административные штрафы в размере до 2% от глобального годового оборота. Документально подтвержденные, соразмерные усилия по соблюдению требований - и четкое доказательство причины любой задержки - необходимы для снижения риска.

Можно ли уведомлять пользователей о запросе их данных?

No. For a European Production Order, the EPOC states that the addressee must not inform the person whose data are requested. The issuing authority informs them, and it may delay doing so. If you process the data on behalf of another company (as a processor), you must inform that controller unless the order tells you not to.

Как ICS может помочь вам подготовиться

Если вы не можете поддерживать круглосуточную готовность собственными силами или просто хотите получить независимую гарантию того, что ваша программа выдержит тщательную проверку, ICS предоставляет полную Оценка соответствия требованиям e-Evidence и услуга управляемых операций. We help you map your scope, close legal and technical gaps, connect to the decentralised IT system, train your response team and, for providers established outside the EU, act as your appointed legal representative.

Свяжитесь с ICS сегодня чтобы запланировать оценку готовности к использованию электронных доказательств and put a clear, defensible remediation plan in place.