hebben al onze vestigingen één gezamenlijk dossier of ieder hun eigen

Eén ketendossier, meerdere vestigingsprofielen

Het antwoord: het dossier werkt samen, maar niet als één bak antwoorden voor iedereen. In de praktijk zet je één ketendossier op voor de hele organisatie, en daarbinnen leg je per vestiging vast wat afwijkt. Het vestigingsadres van de onderneming en de landen waar de onderneming vestigingen heeft zijn daarbij de eerste splitsing: sommige vragenlijsten vragen expliciet naar de situatie op één locatie, niet naar het concern als geheel.

Wat wél gedeeld is: governance-antwoorden, het ISO 27001-certificaat als dat op het niveau van de rechtspersoon is afgegeven, en de CSRD/VSME-cijfers als die geconsolideerd worden gerapporteerd. Wat vaak per vestiging verschilt: het aantal medewerkers op die locatie, lokale certificeringen, en soms de scope van de informatiebeveiligingsmaatregelen als niet elke vestiging binnen dezelfde ISO-scope valt. Je vult dus één keer het concernbrede deel in, en voegt per vestiging een laag toe waar de vragenlijst daar concreet om vraagt.

Waarom dat verschil bestaat: registratie versus rapportagescope

Dit volgt uit hoe registratie en rapportage juridisch gescheiden zijn. De Handelsregisterwet 2007 registreert vestigingen als aparte eenheden onder één onderneming — vandaar dat een klant soms per vestigingsnummer vraagt in plaats van per KvK-hoofdinschrijving. CSRD (Richtlijn 2022/2464) en de VSME-standaard van EFRAG rapporteren juist op het niveau van de rapporterende entiteit, meestal de groep, dus die cijfers zijn per definitie geconsolideerd en niet per vestiging op te splitsen. NIS2 (Richtlijn 2022/2555, artikel 21 lid 2) en ISO/IEC 27001 Annex A hangen af van de scope die de organisatie zelf heeft vastgesteld voor het managementsysteem: als die scope één vestiging dekt, geldt het certificaat niet automatisch voor de andere. Daarom is het antwoord op deze vraag niet uniform "samen" of "los", maar afhankelijk van welk onderdeel van het dossier je bekijkt.