tenemos varias filiales debo rellenar la lista de preguntas por separado para cada empresa

Generalmente por entidad jurídica, no por grupo

En la mayoría de los casos, cada empresa rellena el cuestionario por separado, porque la parte que pregunta evalúa la entidad jurídica con la que tiene un contrato. Cada empresa tiene, después de todo, su propio registro en el registro mercantil, sus propias número de registro y generalmente su propio domicilio social. Una respuesta que es correcta para la matriz — por ejemplo, sobre el número de empleados o la cifra de negocios anual — no es automáticamente correcta para la filial. Si la filial rellena ella misma la lista con su propio cliente, entonces se aplican sus propias cifras, no las del grupo.

Hay un matiz importante: en la presentación de informes según la CSRD (Directiva 2022/2464) y en la norma VSME de EFRAG, la presentación de informes se realiza a menudo a nivel de grupo, con un resumen consolidado de toda la cadena de filiales. Si un cliente pregunta específicamente sobre presentación de informes de sostenibilidad según la CSRD o VSME, la respuesta puede situarse a nivel de grupo — comprueba entonces si el cuestionario lo pregunta explícitamente, o si pregunta por la situación de la empresa individual. Para las preguntas sobre seguridad de la información (ISO/IEC 27001, NIS2), el alcance suele situarse en la entidad que presta el servicio, porque se trata de los sistemas y procesos que funcionan realmente en esa empresa. Un expediente de cadena con los hechos individuales por filial es útil aquí: estableces por separado para cada filial qué es verdadero, y el sistema utiliza por cada cuestionario el conjunto correcto.

Por qué esto varía según la normativa

La Ley del Registro Mercantil de 2007 registra cada empresa por separado, con su propio número — ese es el punto de partida que siguen la mayoría de los portales de compras. La CSRD (Directiva 2022/2464) y el módulo básico VSME de EFRAG, en cambio, sí prevén una forma de presentación de informes consolidada a nivel de grupo. La NIS2 (Directiva 2022/2555, artículo 21 apartado 2) e ISO/IEC 27001 se dirigen a la organización que realmente gestiona el servicio o el sistema, que generalmente es la empresa individual. La capa aplicable no está, pues, fijada en una única ley, sino que se deduce de la propia pregunta — fíjate en qué se pregunta literalmente sobre la sector o alcance de la presentación de informes.