quién en nuestra empresa puede consultar o modificar el dossier de cadena

Funciones y permisos, no una sola cuenta para todos

Quien puede ver o modificar el expediente de cadena lo decide la propia organización: no se trata de un rol legal sino de una configuración en el sistema. En la práctica funciona con funciones: un administrador que puede modificar campos y vincular fuentes, y colegas que solo pueden leer o solo pueden completar una parte específica — por ejemplo TI para las preguntas sobre seguridad de la información, y finanzas para los datos de ingresos. De esta manera no todos necesitan tener acceso a todo, y queda claro quién ha introducido o confirmado cada respuesta.

Esa distinción es comparable con lo que ¿Cumplen los servicios en línea de la empresa los requisitos de accesibilidad? y otros componentes técnicos piden: no todos los empleados tienen los mismos conocimientos para evaluar una respuesta. La misma lógica se aplica a campos sensibles como ¿Utiliza la empresa sistemas de IA en la prestación de sus servicios? — aquí quieres que quien confirme la respuesta también entienda qué pregunta se está formulando. Quién finalmente hace clic en "sí" o "no" en un cuestionario sigue siendo una decisión de la propia organización; el sistema solo registra quién lo hizo y cuándo.

Por qué la distribución de funciones es relevante en absoluto

Esta clasificación no surge de un artículo legal específico, sino de la naturaleza de los requisitos subyacentes en sí. Las diez medidas del artículo 21, apartado 2 de la Directiva NIS2 mencionan explícitamente el control de acceso como una medida de gestión, y el Anexo A de ISO/IEC 27001 lo desarrolla más con controles concretos sobre quién puede ver o modificar qué datos. Un expediente de cadena que contiene respuestas a este tipo de cuestionarios se rige por la misma lógica: no porque la ley prescriba la plataforma, sino porque los cuestionarios en sí suelen preguntar cómo se regula el acceso a los datos empresariales. Por lo tanto, la distribución de funciones en el expediente es un reflejo práctico de lo que ya se solicita en esos requisitos, no una obligación separada.