Häufige Fragen

Nein. Complass erklärt jeden Schritt in verständlichen Worten, mit Vorlagen, Beispieltexten und Verweisen auf die Stelle. Ihr Team setzt selbst um. Wenn Sie Unterstützung möchten, können Sie begleitende Beratung dazubuchen.

Ja. Ihr Administrator verbindet Teams und Jira in wenigen Schritten. Benachrichtigungen und Freigaben laufen dann über Teams, Maßnahmen werden zu Jira-Tickets. Was als erledigt gilt, bestätigt weiterhin eine verantwortliche Person in Complass, damit der Nachweis stimmt.

Die Oberfläche gibt es auf Deutsch und Englisch. Französisch, Spanisch, Italienisch, Niederländisch, Polnisch und Portugiesisch stehen als Beta zur Verfügung; die Texte dieser Sprachen sind noch nicht fachlich geprüft.

Nicht unmittelbar, wenn Sie selbst nicht unter § 28 BSIG fallen. Ihre Kunden müssen aber die Sicherheit ihrer Lieferkette berücksichtigen und fragen deshalb oft Nachweise an. Diese können Sie mit Complass, z. B. über ISO 27001, strukturiert erbringen.

Das BSIG schreibt keine Zertifizierung vor. ISO/IEC 27001 ist aber ein bewährter Rahmen; in Complass verknüpfen Sie beide Kataloge, sodass Nachweise für beide gelten.

Nein. Die Zertifizierung erfolgt durch eine akkreditierte Zertifizierungsstelle. Complass bereitet Sie mit Dokumenten, Erklärung zur Anwendbarkeit und Nachweisen darauf vor.

Nein, Normen sind urheberrechtlich geschützt. Complass erklärt die Anforderungen und verweist auf den Abschnitt; eigene Auszüge aus Ihrer lizenzierten Ausgabe können Sie hinterlegen.

Das Modul ist auf Betreiber und Integratoren ausgerichtet. Hersteller setzen Produktanforderungen heute über das CRA-Modul um, das mit IEC 62443 verknüpft ist.

Nein, IEC-Normen sind urheberrechtlich geschützt. Complass erklärt die Anforderungen und verweist auf die Stelle; eigene Auszüge können Sie hinterlegen.

Häufig beides. Complass zeigt die Überschneidungen und verknüpft die Kataloge, damit Sie Nachweise nur einmal erbringen.

Nein. Complass berechnet die Fristen und bereitet die Inhalte vor; die Meldung geben Sie über die Meldeplattform ab.

Möglicherweise, wenn der Umbau als wesentliche Veränderung gilt. Das Modul enthält dafür eine eigene Bewertung mit Vorlage.

Eine Phase im Modul behandelt das Zusammenspiel von Maschinenverordnung, CRA und IEC 62443; die Kataloge lassen sich verknüpfen.

Für KI-Sicherheitsbauteile, die Hochrisiko-KI-Systeme sind, gelten seit dem 27. Juli 2026 aus der KI-Verordnung nur noch wenige Artikel; ihre Anforderungen kommen ab dem 2. August 2028 über Anhang III der Maschinenverordnung. KI-Funktionen ohne Sicherheitsbezug, etwa eine Verschleißprognose, sind weiter nach den allgemeinen Regeln der KI-Verordnung zu prüfen. Das Modul führt Sie durch die Einstufung.

Beide Module gehören zum Regelwerk IEC 62443 und nutzen dasselbe Zonenmodell. Die Gap-Analyse gegen die einzelnen Systemanforderungen aus 3-3 führen Sie im Betreibermodul, idealerweise gemeinsam mit Ihrem Kunden.

Nein, IEC-Normen sind urheberrechtlich geschützt. Complass erklärt die Anforderungen in eigenen Worten und verweist auf die Anforderungsnummer; eigene Auszüge können Sie hinterlegen.

Nein. Harmonisierte Normen zum CRA sind in Vorbereitung; solange ihre Fundstellen nicht im Amtsblatt veröffentlicht sind, begründet IEC 62443 keine Konformitätsvermutung. Sie können 4-1 und 4-2 aber als gewählte technische Lösung in der technischen Dokumentation beschreiben; das Modul enthält dafür eine Abgleichvorlage.

Nein, IEC-Normen sind urheberrechtlich geschützt. Complass erklärt die Anforderungen in eigenen Worten und verweist auf die Nummern; eigene Auszüge aus Ihrer lizenzierten Ausgabe können Sie hinterlegen.

Nicht zwingend. Viele Hersteller beginnen mit einer Selbsterklärung zum SL-C und belegen den Prozess mit eigenen Nachweisen. Ein Prozess- oder Produktzertifikat durch eine unabhängige Stelle stärkt das Vertrauen von Kunden; das Modul hilft, die Nachweise dafür zu sammeln.

Nein. Complass strukturiert die Umsetzung und den Nachweis; Beratung und Überwachung bleiben Aufgabe des Datenschutzbeauftragten, wo einer benannt ist. Die Inhalte ersetzen keine Rechtsberatung.

Nein. Complass hilft bei Bewertung, Inhalt und Dokumentation der Meldung; die Meldung geben Sie über den Meldeweg Ihrer Aufsichtsbehörde ab.

Ja. Die Inhalte folgen der Verordnung, die in allen Mitgliedstaaten gilt. Deutsche Besonderheiten aus dem BDSG sind als nationale Hinweise gekennzeichnet; nationale Regeln anderer Mitgliedstaaten prüfen Sie selbst.

Ja, als Betreiber: Sie müssen Maßnahmen zur KI-Kompetenz der Nutzer ergreifen und verbotene Praktiken ausschließen. Weitere Pflichten entstehen erst bei hochriskanten Einsatzzwecken oder Transparenzfällen.

KI zur Qualitätskontrolle oder Leistungsoptimierung gilt nicht als Sicherheitsbauteil. Für KI-Sicherheitsbauteile von Maschinen gelten aus der KI-Verordnung nur wenige Artikel; die Anforderungen kommen über die Maschinenverordnung. Complass verknüpft dazu KI-VO-, MaschinenVO- und CRA-Projekt.

Nur in bestimmten Fällen. Art. 27 Abs. 1 verpflichtet Betreiber, die Einrichtungen des öffentlichen Rechts sind oder als private Einrichtung öffentliche Dienste erbringen, sowie Betreiber von Hochrisiko-KI-Systemen nach Anhang III Nr. 5 Buchstabe b und c (Kreditwürdigkeit, Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen), und zwar vor der ersten Verwendung. Für Hochrisiko-KI-Systeme im Bereich kritische Infrastruktur (Anhang III Nr. 2) gilt die Pflicht nicht. Complass gibt anhand Ihrer Einstufung einen Hinweis; die Entscheidung treffen Sie.

Nein. Complass strukturiert Einstufung, Pflichten und Nachweise anhand des Gesetzestexts; die rechtliche Bewertung im Einzelfall bleibt bei Ihnen.

Teilweise. Die Pflicht, Produkte für den Datenzugang zu gestalten, gilt nur für vernetzte Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden; maßgeblich ist das einzelne Gerät, nicht die Baureihe. Die Rechte der Nutzer auf Zugang zu ohne Weiteres verfügbaren Daten und auf Weitergabe an Dritte haben dagegen keinen eigenen Stichtag und gelten seit dem 12. September 2025. Nach den FAQ der Europäischen Kommission erfassen sie auch Maschinen, die schon im Feld sind.

Die Pflichten zum Datenzugang nach Kapitel II gelten nicht für Kleinst- und Kleinunternehmen, sofern sie keine Partner- oder verbundenen Unternehmen haben, die größer sind, und nicht als Unterauftragnehmer für die Herstellung oder Konzeption eines vernetzten Produkts beauftragt wurden. Die Regeln zu missbräuchlichen Vertragsklauseln und zum Cloud-Wechsel gelten trotzdem. Complass führt Sie durch diese Prüfung.

Als Nutzer können Sie vom Dateninhaber die ohne Weiteres verfügbaren Daten Ihrer Maschinen verlangen, unentgeltlich und in maschinenlesbarem Format, und die Weitergabe an einen Dritten Ihrer Wahl, etwa einen Servicepartner. Complass hilft beim Anfordern der Daten, bei der Prüfung von Verträgen und beim Festlegen von Anforderungen für den Einkauf neuer Maschinen.

Nein. Complass strukturiert Rollen, Pflichten und Nachweise anhand des Gesetzestexts und liefert Vorlagen mit Beispielformulierungen; Verträge und Kundentexte lassen Sie vor der Verwendung rechtlich prüfen.

Nein. Es ist deutsches Recht und gilt für kritische Anlagen in Deutschland. Die anderen EU-Mitgliedstaaten setzen die CER-Richtlinie mit eigenen Gesetzen um; für Anlagen dort gilt das jeweilige nationale Recht.

Die Rechtsverordnung mit den Schwellenwerten ist noch nicht verkündet. Erfassen Sie schon jetzt Ihre Dienstleistungen, Anlagen und Werte zum Versorgungsgrad und dokumentieren Sie die Einschätzung. Gilt eine Anlage als kritisch, bleiben drei Monate für die Registrierung; zehn Monate nach der Registrierung müssen Resilienzplan und Meldewesen stehen.

Nein. Das BSI-Gesetz regelt die Cybersicherheit, das KRITIS-Dachgesetz den physischen Schutz und die Aufrechterhaltung der Versorgung. Die Registrierung erfolgt aber gemeinsam, und vorhandene Risikoanalysen, Dokumente und Zertifikate können Sie als Nachweis heranziehen (§ 17). In Complass nutzen Sie das Risk-Management für die Risiken beider Gesetze.

Bußgelder gibt es nur für bestimmte Verstöße, mit Höchstbeträgen zwischen 100.000 Euro und 1 Mio. Euro: fehlende oder falsche Registrierungsangaben, Zuwiderhandlung gegen vollziehbare Anordnungen, nicht übermittelte Auditergebnisse und verweigerten Zutritt oder verweigerte Auskunft bei einer Prüfung (§ 24). Bei fehlenden Maßnahmen kann die Behörde die Beseitigung der Mängel anordnen (§ 16); die Geschäftsleitung haftet nach Gesellschaftsrecht (§ 20).

Nein. Complass strukturiert Betroffenheitsprüfung, Pflichten und Nachweise anhand des Gesetzestexts; die rechtliche Bewertung im Einzelfall bleibt bei Ihnen.

In der Regel ja: Die Maschine mit Funkmodul ist dann selbst eine Funkanlage, und kann sie über das Internet kommunizieren, gilt die Anforderung zum Schutz des Netzes. Das Complass-Modul RED hilft Ihnen bei der Einordnung.

Nur wenn Sie harmonisierte Normen für alle anwendbaren grundlegenden Anforderungen vollständig anwenden und keine der im Amtsblatt veröffentlichten Einschränkungen greift, etwa weil dem Nutzer bei Anwendung der Nummern 6.2.5.1 und 6.2.5.2 der EN 18031 erlaubt ist, kein Passwort festzulegen bzw. zu verwenden. Sonst ist eine notifizierte Stelle einzubeziehen.

Ja. Bis dahin in Verkehr gebrachte Funkanlagen müssen die RED-Anforderungen erfüllen, und Risikobewertung, Sicherheitskonzept und Prüfberichte lassen sich in Ihr CRA-Projekt übernehmen.

Mittelbar ja: Ihre Kunden müssen die Cyber-Anforderungen der MDR nachweisen und erwarten dafür Angaben und Zusagen von Ihnen. Verkaufen Sie die Komponente auch an andere Branchen, gilt dafür in der Regel zusätzlich der Cyber Resilience Act. Das Modul enthält eine eigene Phase für Zulieferer.

Nein. Complass strukturiert die Cyber-Anforderungen und Nachweise und lässt sich in Ihr bestehendes QMS einbinden; Konformitätsbewertung und Freigaben bleiben bei Ihnen und Ihrer benannten Stelle.

Das Modul beschreibt die Aktivitäten in eigenen Worten mit Verweis auf die Abschnitte. Den Normtext selbst beziehen Sie über den Normenhandel; Auszüge aus Ihrer lizenzierten Ausgabe können Sie im Projekt hinterlegen.

Das Gesetz verpflichtet nicht dazu, die Meldestelle soll anonyme Meldungen aber bearbeiten. Complass bietet den anonymen Weg standardmäßig an, weil er die Hemmschwelle senkt; wer möchte, kann seinen Namen freiwillig angeben.

Nur, wenn sie selbst zur Meldestelle gehört. Administratoren benennen die Meldestelle, sehen aber keine Inhalte. Jede Änderung der Besetzung sehen die bisherigen Mitglieder sofort, damit niemand unbemerkt mitliest.

Für die meisten kleineren Unternehmen gilt die Pflicht nicht, Finanzunternehmen ausgenommen. Weil Meldekanal und Regelwerk im Basisschutz enthalten sind, können Sie den Kanal trotzdem ohne Mehrkosten anbieten.

Nein. Complass stellt Meldekanal, Verfahren und Nachweise bereit; wie ein gemeldeter Verstoß rechtlich zu bewerten ist, entscheidet Ihre Meldestelle im Einzelfall.

Ja, mittelbar, wenn Sie IKT-Dienstleistungen für Finanzunternehmen erbringen. Ihre Kunden müssen die Vertragsinhalte nach Art. 30 mit Ihnen vereinbaren und verlangen Angaben für ihr Informationsregister, Unterstützung bei Vorfällen, Audits und Ausstiegsregelungen. Unmittelbare Aufsicht trifft nur kritische IKT-Drittdienstleister nach Art. 31.

Für Finanzunternehmen ist DORA der speziellere Rechtsakt; § 28 Abs. 6 BSIG nimmt sie von zentralen NIS2-Pflichten aus. IKT-Dienstleister können dagegen selbst unter NIS2 fallen und zusätzlich die DORA-Anforderungen ihrer Kunden erfüllen müssen. Der Betroffenheitscheck in Complass prüft die NIS2-Seite.

Nein. Complass hilft, Vorfälle mit Zeitstempeln zu dokumentieren, die Einstufung als schwerwiegend mit Prüffragen zu begründen, die Meldefristen zu berechnen und die Meldungen mit ihren Pflichtangaben vorzubereiten. Die Meldung selbst übermitteln Sie über den von der Aufsicht vorgegebenen Weg; die rechtliche Bewertung im Einzelfall bleibt bei Ihnen.

Im Register „Verträge und Lizenzen“ des Asset-Managements, mit Laufzeit, Kündigungsfrist, Verantwortlichen, verknüpften Assets und Nachweisen; mit dem Lieferantenmanagement auch beim jeweiligen Dienstleister. Es liefert Angaben für Ihr Informationsregister nach Art. 28 DORA, einen Export im Format der Durchführungsverordnung (EU) 2024/2956 bietet Complass nicht.

Nein. Zertifizierungsstelle für ISO 27001 auf der Basis von IT-Grundschutz ist das BSI; die Prüfung führt ein vom BSI zertifizierter Auditor durch. Complass bereitet Sie mit Vorlagen, Katalogen und Nachweisen darauf vor.

Nein. Für die Edition 2023 enthält Complass Kennungen, Stufen und eigene Kurzbeschreibungen; den Wortlaut lesen Sie im kostenlosen Kompendium des BSI nach. Die Anforderungen von Grundschutz++ veröffentlicht das BSI unter der Lizenz CC BY-SA 4.0, sie sind im Originalwortlaut enthalten.

Wer kurzfristig zertifizieren will, kann das bis zum 30. November 2031 auf Basis des klassischen IT-Grundschutzes tun. Wer erst 2027 oder später zertifizieren möchte, plant am besten direkt mit Grundschutz++; Strukturanalyse, Schutzbedarf und Risikoanalyse bleiben in beiden Fällen nutzbar.

Nein. Das Label setzt ein Assessment durch einen von ENX zugelassenen Prüfdienstleister voraus, und ob Sie es erhalten, entscheidet dieses Assessment. Complass bereitet Sie darauf vor: mit Selbstbewertung, Ist-Reifegrad je Anforderung, Vorlagen, Nachweisen und Maßnahmenplan.

Nein. Complass nennt je Anforderung nur die Nummer im VDA ISA und beschreibt sie in eigenen Worten. Den offiziellen Katalog laden Sie bei ENX herunter und nutzen ihn parallel; Auszüge daraus können Sie im Projekt hinterlegen.

Nein. Registrierung, Auftrag an den Prüfdienstleister und das Teilen des Ergebnisses laufen über das Portal von ENX. Complass bereitet die Angaben dafür mit einer Checkliste vor.

Ja. Der VDA ISA lehnt sich inhaltlich eng an ISO/IEC 27001 und 27002 an, viele Anforderungen haben Sie dann schon umgesetzt. Die Richtlinien-Vorlagen im TISAX-Modul sind wie im ISO-27001-Modul aufgebaut. Prototypenschutz und Datenschutz kommen bei Bedarf hinzu.

Für Assessments, die ab dem 01.01.2027 beauftragt werden, gilt VDA ISA 2027, mit teils neuen Nummern. Ihre Antworten in Complass hängen an eigenen, stabilen Kennungen und bleiben bei der Umstellung erhalten. Die Nummern nach VDA ISA 2027 sind in Vorbereitung.

Der Dienstleister kann die Technik umsetzen, die Verantwortung bleibt aber bei der Praxisleitung. Regeln für das Team, Schulung und Nachweise liegen bei Ihnen. In Complass halten Sie fest, welche Anforderungen der Dienstleister bestätigt und welche die Praxis selbst umsetzt.

Nein, Zahnarztpraxen setzen die Richtlinie der KZBV um. Beide Fassungen sind gleich aufgebaut und nummeriert; Complass zeigt bei jeder Anforderung den Wortlaut der KBV und, wo er abweicht, den der KZBV.

Nein. Die Richtlinie schreibt kein Zertifikat vor. Sie müssen die Umsetzung aber belegen können, etwa gegenüber der Kassenärztlichen bzw. Kassenzahnärztlichen Vereinigung, der Datenschutzaufsicht oder nach einem Vorfall gegenüber Versicherern.

§ 391 SGB V gilt für alle Krankenhäuser und verlangt Vorkehrungen nach dem Stand der Technik. Der B3S ist der vom BSI als geeignet festgestellte Weg dafür und deshalb auch für kleinere Häuser der naheliegende Maßstab.

Nein. Der B3S ist ein Werk der DKG. Complass beschreibt die Anforderungen in eigenen Worten und verweist auf Kapitel und ANF-Nummern. Den Standard erhalten Sie kostenfrei bei der DKG; Auszüge daraus können Sie in Ihrem Projekt hinterlegen.

Nein. Maßnahmen, die Sie im B3S-Projekt dokumentieren, ordnet Complass über den gemeinsamen Maßnahmenkatalog auch dem NIS2-Regelwerk zu.

Nein. Das CSF ist nicht zertifizierbar. Complass hilft Ihnen, Ihren Stand als Profil zu beschreiben und zu belegen; ein Zertifikat oder Label entsteht dadurch nicht.

Die vier Tiers (Partial, Risk Informed, Repeatable, Adaptive) kennzeichnen, wie gefestigt Ihre Steuerung und Ihr Risikomanagement insgesamt sind. Sie halten das aktuelle und das angestrebte Tier in einer Vorlage fest.

Nein. Über die gemeinsamen Maßnahmen schlägt Complass vor, Bewertungen und Nachweise zu übernehmen. Sie prüfen jeden Vorschlag fachlich, bevor Sie ihn bestätigen.

Nein. Es ergänzt sie als Darstellung gegenüber Kunden und Versicherern. Gesetzliche Pflichten bleiben bestehen.

Nein. Weder das SSDF noch OWASP SAMM sind zertifizierbar. Complass hilft Ihnen, Ihren Umsetzungsstand und Reifegrad zu beschreiben und zu belegen.

Nicht automatisch. Das SSDF deckt viele Anforderungen an Entwicklung und Schwachstellenbehandlung ab, und Complass zeigt die Zuordnung zu Anhang I. Die Konformitätsbewertung nach dem CRA bleibt eine eigene Aufgabe.

Das SSDF sagt, was zu tun ist; SAMM zeigt, wie gefestigt es ist. Mit den Stufen 0 bis 3 können Sie Fortschritt messen und Ziele setzen.

Nein. Über die gemeinsamen Maßnahmen schlägt Complass vor, Bewertungen und Nachweise zu übernehmen. Sie prüfen jeden Vorschlag, bevor Sie ihn bestätigen.

Ja. Als Hersteller, Einführer oder Händler haben Sie Ihre Pflichten auch dann, wenn der Marktplatz zusätzlich eigene Pflichten hat. Complass ordnet Ihnen die Rolle je Produkt zu.

Nein. Complass bereitet die Angaben für die Meldung im Safety-Business-Gateway vor und dokumentiert den Vorgang; die Meldung geben Sie selbst ab.

Nein. Complass strukturiert Rollen, Pflichten und Nachweise anhand des Verordnungstexts; die rechtliche Bewertung im Einzelfall bleibt bei Ihnen.

Das Modul ist in Vorbereitung. Einen Termin nennen wir erst, wenn er feststeht. Sprechen Sie uns an: Wir zeigen Ihnen den Stand und wie Sie heute schon mit ISO/IEC 27001 oder NIS2 in Complass beginnen können.

Für den Netzbetrieb und für Energieanlagen von wichtigen oder besonders wichtigen Einrichtungen gelten die §§ 5c bis 5e EnWG; die meisten Pflichten des BSI-Gesetzes entfallen dafür. Einstufung und Registrierung nach dem BSI-Gesetz bleiben. Für weitere Sparten wie Wasser oder Abwasser gilt das BSI-Gesetz. Ist die Energieanlage im Verhältnis zur gesamten Geschäftstätigkeit nur eine Nebentätigkeit, gilt ebenfalls das BSI-Gesetz.

Für Netzbetreiber der Katalog von August 2015, für Anlagenbetreiber der Katalog von Dezember 2018. Beide gelten laut Bundesnetzagentur weiter, bis ein neuer Katalog veröffentlicht ist. Stand der Prüfung: 10.10.2026.

Die Bundesnetzagentur überarbeitet die Kataloge gemeinsam mit dem BSI zu einem Katalog, der auch für digitale Energiedienste gelten soll. Der Konsultationsentwurf nennt den 01.01.2027 als Geltungsbeginn. Festgelegt ist das noch nicht. Ihre Arbeit an den zwölf Themen aus § 5c Abs. 4 EnWG zählt in jedem Fall, weil jeder Katalog sie enthalten muss.

Fielen Sie bisher unter § 8a BSIG alte Fassung, setzen Sie den „B3S Aggregatoren“ des BDEW weiter um. Sonst bauen Sie ein ISMS nach ISO/IEC 27001 auf und orientieren sich an den zwölf Themen. In Complass bewerten Sie diese Themen und ergänzen den neuen Katalog, sobald er festgelegt ist.

An die Meldestelle des BSI: eine frühe Erstmeldung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach. Hat der Vorfall Bedeutung für die Energieversorgungssicherheit, leitet das BSI die Meldung an die Bundesnetzagentur weiter (§ 5d Abs. 5 EnWG).

Nein. Complass strukturiert Betroffenheitsprüfung, Pflichten und Nachweise anhand des Gesetzestexts und der Kataloge; die rechtliche Bewertung im Einzelfall bleibt bei Ihnen.