Mamy kilka spółek zależnych - czy muszę wypełniać kwestionariusz osobno dla każdej z nich
Zwykle na poziomie jednostki prawnej, a nie grupy
W większości przypadków każda spółka z ograniczoną odpowiedzialnością wypełnia kwestionariusz osobno, ponieważ strona pytająca przeprowadza ocenę na podstawie jednostki prawnej, z którą zawarła umowę. Każda spółka z ograniczoną odpowiedzialnością ma bowiem własną rejestrację w rejestrze handlowym, własny numer rejestracyjny i zwykle własny adres siedziby. Odpowiedź, która jest poprawna dla spółki matki — na przykład dotycząca liczby pracowników lub przychodu rocznego — niekoniecznie jest poprawna dla spółki zależnej. Jeśli spółka zależna sama wypełnia listę u swojego klienta, obowiązują zatem jej własne dane, a nie dane grupy.
Istnieje jedno ważne zastrzeżenie: przy sprawozdawczości CSRD (Dyrektywa 2022/2464) i standardzie VSME EFRAG raportowanie odbywa się często na poziomie grupy, ze skonsolidowanym przeglądem całego łańcucha spółek zależnych. Jeśli klient pyta zatem konkretnie o sprawozdawczość dotyczącą zrównoważonego rozwoju zgodnie z CSRD lub VSME, odpowiedź rzeczywiście może być na poziomie grupy — sprawdź wówczas, czy kwestionariusz wyraźnie o to pyta, czy o sytuację poszczególnej spółki z ograniczoną odpowiedzialnością. W przypadku pytań dotyczących bezpieczeństwa informacji (ISO/IEC 27001, NIS2) zakres często dotyczy jednostki, która świadczy usługę, ponieważ chodzi o systemy i procesy, które faktycznie działają w tej spółce z ograniczoną odpowiedzialnością. Jeden plik łańcuchowy zawierający oddzielne fakty dla każdej spółki zależnej jest tutaj przydatny: dla każdej spółki zależnej ustalisz osobno, co jest prawdą, a system użyje prawidłowego zestawu dla każdego kwestionariusza.
Dlaczego różni się to w zależności od rozporządzenia
Ustawa o Rejestrze Handlowym z 2007 r. rejestruje każdą działalność osobno, z własnym numerem — to punkt wyjścia, który stosuje większość portali zakupowych. Z kolei CSRD (Dyrektywa 2022/2464) i moduł bazowy VSME EFRAG mają skonsolidowaną formę sprawozdawczości na poziomie grupy. NIS2 (Dyrektywa 2022/2555, artykuł 21 ust. 2) i ISO/IEC 27001 kierują się do organizacji, która faktycznie zarządza usługą lub systemem, co zwykle jest poszczególną spółką z ograniczoną odpowiedzialnością. Który poziom ma zastosowanie, nie jest zatem ustalony w jednym prawie, ale wynika z samego pytania — sprawdź, co dokładnie pytane jest o sektor lub zakres sprawozdawczości.
Ta odpowiedź dotyczy każdego rodzaju kwestionariusza, nie tylko pytań dotyczących cyberbezpieczeństwa od twojego klienta, odpowiedź udzielona. Pełne wyjaśnienie — ze źródłami, specyficznymi dla kraju szczegółami i powiązanymi tematami — znajduje się na portalu.
To nie jest porada prawna. Ta strona zawiera ogólne informacje o przepisach, których dotyczy ta platforma. Nie znamy Twojej sytuacji. W razie wątpliwości co do Twojego konkretnego przypadku skonsultuj się z prawnikiem lub właściwym organem nadzoru.
Napisane za pomocą AI na podstawie powyższych źródeł, sprawdzane przez człowieka w dniu 2026-09-05. Coś się nie zgadza? Daj nam znać — poprawki mają priorytet.