¿pueden varios establecimientos de mi empresa utilizar el mismo dossier

Un dossier sí, pero no automáticamente para todo

Sí, múltiples establecimientos pueden trabajar con un dossier, pero eso depende de lo que la pregunta exactamente solicita: la persona jurídica o el establecimiento. Muchas listas de preguntas solicitan información sobre la empresa en su conjunto — entonces un dossier a nivel de persona jurídica es suficiente, con la respuesta a en qué países tiene establecimientos la empresa". Otras preguntas están precisamente vinculadas al establecimiento: la dirección del establecimiento, la certificación local o un plan de continuidad local. No puedes responderlas con una única respuesta central sin aclaración.

El cuello de botella suele estar en tres categorías de preguntas. En primer lugar, preguntas de identidad como el domicilio de la empresa — aquí debes indicar si el cliente se refiere a la oficina central o al establecimiento que suministra. En segundo lugar, la certificación ISO: un certificado ISO 9001 puede estar en un establecimiento o en toda la organización, y esa diferencia se refleja en la respuesta a si la empresa tiene certificación ISO 9001". En tercer lugar, las medidas NIS2: si los establecimientos gestionan redes y sistemas por separado, un establecimiento puede cumplir con las diez medidas del artículo 21 apartado 2 y otro no. Un dossier compartido único funciona entonces solo si indicas por establecimiento qué parte de la respuesta es correcta.

De dónde surge la distinción persona jurídica-establecimiento

La Ley del Registro Mercantil de 2007 registra la empresa y el establecimiento como datos separados: una persona jurídica puede tener múltiples establecimientos, cada uno con su propio número de establecimiento y dirección. Esa separación es la razón por la que un dossier a nivel de persona jurídica no aplica automáticamente a una pregunta que se refiere específicamente a un establecimiento. En NIS2, la sensibilidad al establecimiento surge del artículo 21 apartado 2 de la Directiva (UE) 2022/2555: las diez medidas se aplican a la red e infraestructura de información que proporciona el servicio, y eso puede diferir por establecimiento. En ISO 27001, el alcance del certificado de Anexo A es decisivo: ¿está en una sola ubicación o en toda la organización?, eso lo lees en el propio certificado.