todas as nossas filiais têm um dossier conjunto ou cada uma tem o seu próprio

Um dossiê da cadeia, múltiplos perfis de estabelecimento

A resposta: o dossiê funciona em conjunto, mas não como um único repositório de respostas para todos. Na prática, você configura um dossiê da cadeia para toda a organização e, dentro dele, define por estabelecimento o que diverge. O endereço do estabelecimento da empresa e os países onde a empresa tem estabelecimentos são aí a primeira divisão: algumas listas de verificação pedem explicitamente a situação em uma única localização, não a do grupo como um todo.

O que é realmente compartilhado: respostas de governança, o certificado ISO 27001 se emitido ao nível da pessoa jurídica, e os dados CSRD/VSME se reportados de forma consolidada. O que frequentemente diverge por estabelecimento: o número de colaboradores nessa localização, certificações locais, e por vezes o escopo das medidas de segurança da informação se nem todo estabelecimento se encontra dentro do mesmo escopo ISO. Assim, você preenche uma única vez a parte relativa ao grupo e adiciona por estabelecimento uma camada onde a lista de verificação especificamente o solicita.

Por que essa diferença existe: registro versus escopo de relatório

Isto resulta de como o registro e a relatório são juridicamente separados. A Lei do Registo Comercial de 2007 registra estabelecimentos como unidades separadas sob uma empresa — daí que um cliente por vezes pergunte por número de estabelecimento em vez de pela inscrição principal da Câmara do Comércio. A CSRD (Diretiva 2022/2464) e a norma VSME da EFRAG reportam precisamente ao nível da entidade que reporta, geralmente o grupo, pelo que esses dados são por definição consolidados e não podem ser divididos por estabelecimento. A NIS2 (Diretiva 2022/2555, artigo 21.º n.º 2) e a ISO/IEC 27001 Anexo A dependem do escopo que a organização estabeleceu para o seu sistema de gestão: se esse escopo cobre um estabelecimento, o certificado não se aplica automaticamente aos outros. Por isso, a resposta a esta questão não é uniformemente "em conjunto" ou "separadamente", mas depende de qual parte do dossiê está em causa.