Wie oft muss ich die Akte aktuell halten

Aktualisierung hat pro Rubrik einen anderen Rhythmus

Es gibt keine feste Aktualisierungshäufigkeit für das gesamte Ketendossier: jede Rubrik folgt dem Rhythmus der dahinterstehenden Quelle. Daten aus dem Handelsregister — Name, Rechtsform, Betriebsstätte — ändern sich nur, wenn das Unternehmen selbst etwas ändert, und dann ist die Aktualisierung vor allem eine Kontrolle, ob die KVK-Änderung durchgekommen ist. Das gilt beispielsweise für der Betriebsstätte des Unternehmens und für die Registrierungsnummer, unter der das Unternehmen eingetragen ist,: diese ändern sich selten, aber wenn es passiert, steht das Dossier bis dahin daneben.

Andere Rubriken haben durchaus einen natürlichen Rhythmus. Umsatz und Personalbestand entwickeln sich normalerweise jährlich mit der Jahresrechnung — relevant für dem Jahresumsatz des Unternehmens und für die Mitarbeiterzahl. Ein ISO 27001-Zertifikat hat ein Gültigkeitsdatum der Zertifizierungsstelle, und nach einer Neuzertifizierung oder Überwachungsprüfung ist das der Auslöser, um die Maßnahmen in Annex A erneut zu überprüfen. Die zehn Maßnahmen von Artikel 21 Absatz 2 NIS2 und eine VSME-Berichterstattung kennen kein gesetzliches Wiederherstellungsdatum im Dossier selbst, werden aber in der Praxis jährlich überprüft, weil die zugrunde liegenden Zahlen und Risikobewertungen nach einem Jahr veraltet sind. Wer zum ersten Mal eine Nachhaltigkeitsliste im Umfang der CSRD ausfüllt, sollte diese Rubrik an das Geschäftsjahr koppeln, über das berichtet wird.

Woher dieser Rhythmus kommt

Keine der fünf Quellen schreibt eine Aktualisierungsfrist für das Ketendossier vor; das Handelsregistergesetz 2007 verpflichtet jedoch zur Mitteilung von Änderungen der gesetzlichen Daten, und die CSRD (Richtlinie (EU) 2022/2464) und der VSME-Standard von EFRAG arbeiten mit einem jährlichen Berichtszyklus, weil sie an das Geschäftsjahr anknüpfen. NIS2 (Richtlinie (EU) 2022/2555, Artikel 21 Absatz 2) und ISO/IEC 27001 Annex A nennen keine Kalenderfristen, aber setzen regelmäßige Überprüfung der Maßnahmen als Teil des Risikomanagements voraus. Das Ketendossier folgt daher pro Rubrik dem Zyklus der Quelle, nicht einer übergreifenden Regel.