minden fióktelep közös dossziét használ vagy saját-saját

Egy ellátási dossié, több telephelyprofil

A válasz: a dossié együtt működik, de nem egyetlen válaszgyűjteményt képez mindenkinek. A gyakorlatban egy ellátási dosszié állítasz fel a teljes szervezet számára, és abban telephelyenként rögzíted, hogy mi az eltérés. A vállalkozás telephelyének címe és az országok ahol a vállalat tevékenységet végez ebben az első felosztás: egyes kérdőívek kifejezetten egy adott helyszín helyzetét kérdezik, nem a konszernt egészében.

Ami valóban megosztott: irányítási válaszok, az ISO 27001-tanúsítvány, ha azt a jogi személy szintjén adták ki, valamint a CSRD/VSME-adatok, ha azokat konszolidáltan jelentik. Ami gyakran telephelyenként eltér: az adott helyszínen dolgozók száma, helyi tanúsítványok, és néha az információbiztonsági intézkedések hatóköre, ha nem minden telephely tartozik ugyanabba az ISO-hatáskörbe. Így egyszer kitöltöd a koncernszintű részt, és telephelyenként hozzáadasz egy réteget, ahol a kérdőív konkrétan erre kérdez rá.

Miért létezik ez a különbség: regisztráció versus jelentési hatókör

Ez abból fakad, hogy a regisztráció és a jelentéstétel jogi szempontból elkülönül egymástól. A 2007. évi kereskedelmi nyilvántartási törvény a telephelyeket egy vállalkozás alatt külön egységekként regisztrálja — ezért fordulhat elő, hogy az ügyfél telephelyszám helyett KvK-főbejegyzés alapján kérdez. A CSRD (2022/2464 irányelv) és az EFRAG VSME-szabványa viszont a jelentő entitás szintjén, általában a csoporton, így ezek az adatok definíció szerint konszolidáltak, és nem telephelyenként bonthatók. Az NIS2 (2022/2555 irányelv, 21. cikk, 2. bekezdés) és az ISO/IEC 27001 A melléklet a szervezet által maga megállapított hatáskörön múlik: ha az hatókör egy telephelyre korlátozódik, a tanúsítvány nem vonatkozik automatikusan a többi telephelyre. Ezért erre a kérdésre adott válasz nem egységesen "együtt" vagy "külön-külön", hanem a dossié mely részéről beszélünk, attól függ.