¿cómo mantengo actualizada la información de mi dossier?

Mantener actualizado es actualizar por fuente de datos, no por lista

Un expediente de la cadena se mantiene actualizado si lo actualizas en el momento en que cambia un dato subyacente, no en el momento en que llega de nuevo una lista de preguntas. Eso ahorra: en lugar de revisar decenas de cuestionarios, mantienes actualizado un número limitado de datos fuente — identidad, tamaño, ubicaciones, certificados, políticas — y estos alimentan automáticamente cada respuesta que se basa en ellos. En la práctica, esto significa que un cambio en el número de empleados o en los países en los que la empresa tiene sedes pero solo necesita ajustarse en un lugar, tras lo cual ese cambio se refleja en cada respuesta que utiliza ese dato.

Los datos que más rápidamente se vuelven obsoletos no son casualidad: el tamaño (empleados, volumen de ventas) cambia anualmente con las cuentas anuales, los certificados tienen una fecha de validez y caducan, y los documentos políticos — un plan de continuidad, una política de seguridad de la información — se revisan periódicamente. Una verificación regular en las cuentas anuales y con cada renovación de certificado cubre la mayor parte de los cambios. En la presentación de informes conforme a la CSRD según el módulo básico de la VSME o en las diez medidas del artículo 21, apartado 2 de la Directiva NIS2, el dato subyacente suele ser un documento políticas con un número de versión y una fecha; estos dos son el indicador más simple de si una respuesta sigue siendo correcta, independientemente de si el proceso en sí ha cambiado en términos de contenido.

Ley del Registro Mercantil y Anexo A de ISO/IEC 27001 como anclas

Dos fuentes muestran por qué la actualización es una característica estructural del expediente, no una acción única. La Ley del Registro Mercantil de 2007 obliga a las empresas a notificar cambios en los datos registrados, y ese registro es para datos de identidad — la denominación social y el número de registro — la fuente más fiable para verificar periódicamente. El Anexo A de ISO/IEC 27001 funciona con medidas de control que deben mantenerse demostrablemente actualizadas, incluidos los momentos de evaluación; un expediente que adopta esas fechas de evaluación no necesita determinar por sí mismo cuándo una medida necesita revisión.