har alla våra verksamhetsställen en gemensam fil eller var sin egen

Ett kedjedossier, flera etablerings profiler

Svaret: dossien fungerar tillsammans, men inte som en enda behållare med svar för alla. I praktiken skapar du ett kedjedossier för hela organisationen, och inom den fastställer du per etablering vad som avviker. Etableringsadressen för företaget och de länder där företaget har verksamhetsstäder är där den första uppdelningen: vissa frågelistor frågar uttryckligen efter situationen på en enda plats, inte efter koncernen som helhet.

Vad som däremot är delat: styrningsvar, ISO 27001-certifikatet om det är utfärdat på nivån för den juridiska personen, och CSRD/VSME-siffrorna om dessa rapporteras konsoliderat. Vad som ofta skiljer sig per etablering: antalet anställda på den platsen, lokala certifieringar, och ibland omfattningen av informationssäkerhetåtgärderna om inte varje etablering faller inom samma ISO-omfattning. Du fyller alltså in den koncernomfattande delen en gång, och lägger till per etablering ett lager där frågelistan konkret frågar om det.

Varför denna skillnad existerar: registrering kontra rapporteringsomfattning

Detta följer av hur registrering och rapportering är juridiskt åtskilda. Handelsregistreringslagen 2007 registrerar etableringar som separata enheter under ett företag — därför kan en kund ibland fråga per etableringsmummer i stället för per KvK-huvudregistrering. CSRD (Direktiv 2022/2464) och VSME-standarden från EFRAG rapporterar istället på nivån för den rapporterade enheten, vanligtvis koncernen, så dessa siffror är per definition konsoliderade och kan inte delas upp per etablering. NIS2 (Direktiv 2022/2555, artikel 21 punkt 2) och ISO/IEC 27001 Annex A är beroende av den omfattning som organisationen själv har fastställt för ledningssystemet: om denna omfattning täcker en etablering, gäller certifikatet inte automatiskt för de andra. Därför är svaret på denna fråga inte enhetligt "tillsammans" eller "separat", utan beror på vilken del av dossien du tittar på.