hur ofta måste jag hålla filen aktuell

Uppdatering följer olika rytmer för varje rubrik

Det finns ingen fast uppdateringsfrekvens för hela leverantörsdossieren: varje rubrik följer rytmen från källan bakom den. Uppgifter från Handelsregistret — företagsnamn, juridisk form, etableringsadress — ändras bara om företaget själv gör det, och då är uppdatering främst en kontroll om KvK-ändringar har genomförts. Det gäller till exempel för företagets etableringsadress och för registreringsnumret under vilket företaget är registrerat: dessa ändras sällan, men när det sker står dossieren vid sidan av fram till dess.

Andra rubriker har ett naturligt rytm. Omsättning och personalantal följer vanligtvis årligen med årsredovisningen — relevant för företagets årliga omsättning och för antalet anställda. Ett ISO 27001-certifikat har ett giltighetsdatum från certifieringsorganet, och efter en omcertifiering eller övervakningsrevision är det utlösaren för att granska Annex A-åtgärderna på nytt. De tio åtgärderna i artikel 21 punkt 2 NIS2 och en VSME-rapportering har ingen lagstadgad återställningsdatum i dossieren själv, men granskas i praktiken årligen eftersom de underliggande siffrorna och riskbedömningarna blir föråldrade efter ett år. Den som för första gången fyller i en hållbarhetslista inom CSRD-omfattningen gör klokt i att koppla denna rubrik till det räkenskapsår som rapporten avser.

Vad denna rytm kommer ifrån

Ingen av de fem källorna föreskriver någon uppdateringsterminal för leverantörsdossieren; Handelsregistret 2007 förpliktar dock till att rapportera ändringar i juridiska uppgifter, och CSRD (Direktiv (EU) 2022/2464) och EFRAG:s VSME-standard arbetar med en årlig rapporteringscykel eftersom de ansluter till räkenskapsåret. NIS2 (Direktiv (EU) 2022/2555, artikel 21 punkt 2) och ISO/IEC 27001 Annex A anger ingen kalenderterm, men förutsätter periodisk bedömning av åtgärderna som en del av riskhanteringen. Leverantörsdossieren följer därför per rubrik källans cykel, inte en överordnad regel.