haben alle unsere Betriebsstätten ein gemeinsames Dossier oder jede ihre eigene

Eine Betriebskettenakte, mehrere Standortprofile

Die Antwort: die Akte funktioniert zusammen, aber nicht als ein Behälter mit Antworten für alle. In der Praxis richten Sie eine Betriebskettenakte für die gesamte Organisation ein, und innerhalb dieser legen Sie pro Standort fest, was abweicht. Die Betriebsstätte des Unternehmens und den Ländern, in denen das Unternehmen Niederlassungen hat sind dabei die erste Unterteilung: einige Fragelisten fragen explizit nach der Situation an einem Ort, nicht nach dem Konzern als Ganzes.

Was wirklich geteilt wird: Governance-Antworten, das ISO 27001-Zertifikat, falls es auf der Ebene der juristischen Person ausgestellt wurde, und die CSRD/VSME-Zahlen, falls diese konsolidiert berichtet werden. Was sich oft pro Standort unterscheidet: die Anzahl der Mitarbeiter an diesem Ort, lokale Zertifizierungen und manchmal der Umfang der Informationssicherheitsmaßnahmen, falls nicht jede Betriebsstätte unter denselben ISO-Umfang fällt. Sie füllen also einmal den konzernweiten Teil aus und fügen pro Standort eine Ebene hinzu, wo die Frageliste konkret danach fragt.

Warum dieser Unterschied besteht: Registrierung versus Berichterstattungsumfang

Dies folgt aus der Art, wie Registrierung und Berichterstattung rechtlich voneinander getrennt sind. Das Handelsregisterngesetz 2007 registriert Betriebsstätten als separate Einheiten unter einem Unternehmen — daher fragt ein Kunde manchmal nach einer Betriebsstättennummer statt nach einer KvK-Haupteintragung. CSRD (Richtlinie 2022/2464) und der VSME-Standard von EFRAG berichten hingegen auf der Ebene der berichtenden Entität, normalerweise der Gruppe, daher sind diese Zahlen definitionsgemäß konsolidiert und nicht pro Betriebsstätte aufzuschlüsseln. NIS2 (Richtlinie 2022/2555, Artikel 21 Absatz 2) und ISO/IEC 27001 Annex A hängen vom Umfang ab, den die Organisation selbst für das Managementsystem festgelegt hat: Falls dieser Umfang eine Betriebsstätte abdeckt, gilt das Zertifikat nicht automatisch für die anderen. Daher ist die Antwort auf diese Frage nicht einheitlich „zusammen