¿con qué frecuencia debo mantener actualizado el dossier

La actualización tiene un ritmo diferente por rúbrica

No hay una frecuencia de actualización fija para todo el dossier de la cadena: cada rúbrica sigue el ritmo de la fuente que hay detrás. Los datos del Registro Mercantil — nombre, forma jurídica, domicilio social — solo cambian si la empresa lo hace ella misma, y entonces actualizar es principalmente una verificación de si la mutación de la Cámara de Comercio se ha procesado. Eso se aplica por ejemplo a el domicilio de la empresa y a el número de registro bajo el que está inscrita la empresa: cambian raramente, pero cuando sucede, el dossier queda desfasado hasta ese momento.

Otras rúbricas sí tienen un ritmo natural. La cifra de negocios y la plantilla suelen actualizarse anualmente junto con las cuentas anuales — relevante para la facturación anual de la empresa y para el número de empleados. Un certificado ISO 27001 tiene una fecha de validez de la entidad certificadora, y después de una recertificación o auditoría de seguimiento, ese es el desencadenante para revisar nuevamente las medidas del Anexo A. Las diez medidas del artículo 21 apartado 2 de la Directiva (UE) 2022/2555 y una notificación de PYME no tienen una fecha de remedio legal en el dossier en sí, pero en la práctica se revisan anualmente porque las cifras y evaluaciones de riesgo subyacentes quedan obsoletas después de un año. Quien rellena por primera vez un cuestionario de sostenibilidad dentro del ámbito de aplicación de la CSRD, hará bien en vincular esa rúbrica al ejercicio sobre el que se informa.

De dónde viene este ritmo

Ninguna de las cinco fuentes prescribe un plazo de actualización para el dossier de la cadena; la Ley de Registro Mercantil de 2007 sí obliga a comunicar cambios en los datos legales, y la Directiva (UE) 2022/2464 (CSRD) y la norma PYME de EFRAG funcionan con un ciclo de notificación anual porque se alinean con el ejercicio contable. La Directiva (UE) 2022/2555 (NIS2), artículo 21 apartado 2, e ISO/IEC 27001 Anexo A no mencionan un plazo de calendario, pero presuponen una evaluación periódica de las medidas como parte de la gestión del riesgo. Por lo tanto, el dossier de la cadena sigue por rúbrica el ciclo de la fuente, no una única regla general.