debo rellenar este cuestionario de sostenibilidad completamente cada año

Rellenar de nuevo cada año generalmente no es necesario

Lo que cambia, debes actualizarlo; lo que permanece igual, solo debes confirmarlo. Esa es la diferencia práctica con «rellenar completamente de nuevo». La mayoría de campos en un cuestionario de sostenibilidad —forma jurídica, número de empleados, volumen de negocios, establecimientos— no cambian de un año a otro o cambian muy poco. Si la respuesta en tu expediente de la cadena sigue siendo correcta, es suficiente confirmar con sí. Solo donde la situación realmente ha cambiado, o donde el cliente este año solicita un documento probatorio diferente, debes revisarlo.

La distinción que debes hacer por ti mismo es: ¿se trata de un dato básico o de una declaración periódica? Los datos básicos como el domicilio de la empresa o el número de empleados se mantienen fijos hasta que algo realmente cambia. Las declaraciones periódicas —como emisiones de alcance 1/2/3, o el número de incidentes en el ejercicio anterior— por definición corresponden a un período y deben presentarse cada año con cifras nuevas, aunque el método permanezca sin cambios. No confundas los dos: presentar una cifra de emisiones antigua como respuesta actual no es un ahorro de tiempo, es una respuesta incorrecta.

Por qué algunos campos se mantienen fijos y otros no

Esto se deduce de la naturaleza de los datos solicitados, no de una elección del cliente. Los datos de identidad y estructura se corresponden con lo registrado en el Registro Mercantil (Ley del Registro Mercantil de 2007) y solo cambian en caso de una modificación real, como un nuevo establecimiento o cambio de domicilio. Las cifras de sostenibilidad según el módulo básico de VSME de EFRAG, elaboradas en el marco de la Directiva (UE) 2022/2464, son por definición periódicas: una cifra de emisiones de 2023 no es una respuesta válida a una pregunta sobre 2024. En ciberseguridad es más matizado: las diez medidas del artículo 21, apartado 2, de la Directiva (UE) 2022/2555 y las medidas de control del Anexo A de ISO/IEC 27001 describen una política estructural que solo cambia ante una adaptación de esa política —por ejemplo respecto a el uso de sistemas de IA o un plan de continuidad. También allí se aplica: puedes confirmar siempre que la política subyacente no haya cambiado.