plusieurs établissements de notre entreprise peuvent-ils utiliser le même dossier

Un seul dossier peut, mais pas automatiquement pour tout

Oui, plusieurs établissements peuvent travailler avec un seul dossier, mais cela dépend de ce que la question demande exactement : la personne morale ou l'établissement. De nombreux questionnaires demandent des informations sur l'entreprise dans son ensemble — dans ce cas, un seul dossier au niveau de la personne morale suffit, avec la réponse à les pays dans lesquels l'entreprise a des établissements. D'autres questions sont au contraire liées à l'établissement : l'adresse de l'établissement, la certification locale, ou un plan de continuité local. Vous ne pouvez pas les traiter avec une seule réponse centrale sans explication.

Le point critique porte généralement sur trois catégories de questions. Premièrement, les questions d'identité comme l'adresse d'établissement de l'entreprise — vous devez indiquer si le client désigne le siège social ou l'établissement prestataire. Deuxièmement, la certification ISO : un certificat ISO 9001 peut concerner un seul établissement ou l'ensemble de l'organisation, et cette différence se reflète dans la réponse à si l'entreprise est certifiée ISO 9001. Troisièmement, les mesures NIS2 : si les établissements gèrent séparément leurs réseaux et systèmes, un établissement peut satisfaire aux dix mesures de l'article 21, paragraphe 2, et l'autre non. Un seul dossier partagé ne fonctionne alors que si vous indiquez par établissement quelle partie de la réponse s'applique.

D'où provient la distinction personne morale-établissement

La Loi 2007 sur le registre du commerce enregistre l'entreprise et l'établissement comme des données distinctes : une personne morale peut avoir plusieurs établissements, chacun avec son propre numéro d'établissement et son adresse. Cette séparation explique pourquoi un dossier au niveau de la personne morale ne s'applique pas automatiquement à une question qui porte spécifiquement sur un établissement. Pour NIS2, la sensibilité liée à l'établissement découle de l'article 21, paragraphe 2, de la Directive (UE) 2022/2555 : les dix mesures s'appliquent au réseau et au système d'information qui fournit le service, ce qui peut varier selon l'établissement. Pour ISO 27001, le champ d'application du certificat Annexe A est déterminant : figure-t-il sur un seul site ou dans l'ensemble de l'organisation, vous le lisez sur le certificat lui-même.