Preguntas frecuentes

No. Complass explica cada paso en un lenguaje sencillo, con plantillas, textos de ejemplo y referencias a la fuente. Su equipo implanta por sí mismo. Si desea apoyo, puede añadir una consultoría de acompañamiento.

Sí. Su administrador conecta Teams y Jira en pocos pasos. Las notificaciones y las aprobaciones pasan entonces por Teams, y las medidas se convierten en tickets de Jira. Que algo se dé por completado lo sigue confirmando una persona responsable en Complass, para que la evidencia sea correcta.

La interfaz está disponible en alemán e inglés. Francés, español, italiano, neerlandés, polaco y portugués están disponibles como Beta; los textos de estos idiomas aún no han sido revisados por especialistas.

No directamente, si usted mismo no está incluido en el § 28 BSIG. Sin embargo, sus clientes deben tener en cuenta la seguridad de la cadena de suministro y a menudo solicitan evidencias. Con Complass puede aportarlas de forma estructurada, por ejemplo mediante ISO 27001.

La BSIG no exige la certificación. No obstante, ISO/IEC 27001 es un marco acreditado; en Complass se vinculan ambos catálogos para que las evidencias cuenten para los dos.

No. La certificación la realiza un organismo de certificación acreditado. Complass le prepara con documentos, la declaración de aplicabilidad y evidencias.

No, las normas están protegidas por derechos de autor. Complass explica los requisitos y remite a la cláusula; usted puede almacenar sus propios extractos de su ejemplar con licencia.

El módulo se dirige a propietarios de activos e integradores. Los fabricantes implantan actualmente los requisitos de producto mediante el módulo CRA, que está vinculado con IEC 62443.

No, las normas IEC están protegidas por derechos de autor. Complass explica los requisitos y remite a la fuente; usted puede almacenar sus propios extractos.

A menudo, ambos. Complass muestra las coincidencias y vincula los catálogos para que usted aporte las evidencias una sola vez.

No. Complass calcula los plazos y prepara el contenido; usted presenta la notificación a través de la plataforma de notificaciones.

Posiblemente, si la modificación se considera sustancial. El módulo incluye una evaluación específica con una plantilla para ello.

Una fase del módulo trata la interacción entre el Reglamento de máquinas, el CRA e IEC 62443; los catálogos se pueden vincular.

Para los componentes de seguridad de IA que son sistemas de IA de alto riesgo, desde el 27 de julio de 2026 solo se aplican unos pocos artículos del Reglamento de IA; sus requisitos llegan a partir del 2 de agosto de 2028 a través del anexo III del Reglamento de máquinas. Las funciones de IA sin relación con la seguridad, como una previsión de desgaste, siguen evaluándose según las normas generales del Reglamento de IA. El módulo le guía en la clasificación.

Ambos módulos pertenecen al marco normativo IEC 62443 y utilizan el mismo modelo de zonas. El análisis de brechas frente a los distintos requisitos del sistema de la 3-3 lo realiza en el módulo para operadores, idealmente junto con su cliente.

No, las normas IEC están protegidas por derechos de autor. Complass explica los requisitos con palabras propias y remite al número del requisito; puede guardar extractos propios.

No. Las normas armonizadas de la CRA están en preparación; mientras sus referencias no se publiquen en el Diario Oficial, la IEC 62443 no establece presunción de conformidad. No obstante, puede describir la 4-1 y la 4-2 como solución técnica elegida en la documentación técnica; el módulo incluye para ello una plantilla de contraste.

No, las normas IEC están protegidas por derechos de autor. Complass explica los requisitos con palabras propias y remite a los números; puede guardar extractos propios de su edición con licencia.

No necesariamente. Muchos fabricantes empiezan con una autodeclaración sobre el SL-C y acreditan el proceso con evidencias propias. Un certificado de proceso o de producto expedido por un organismo independiente refuerza la confianza de los clientes; el módulo ayuda a reunir las evidencias para ello.

No. Complass estructura la aplicación y la evidencia; el asesoramiento y la supervisión siguen siendo tarea del delegado de protección de datos, donde se haya designado uno. Los contenidos no sustituyen el asesoramiento jurídico.

No. Complass ayuda con la valoración, el contenido y la documentación de la notificación; usted presenta la notificación por la vía de notificación de su autoridad de control.

Sí. Los contenidos siguen el reglamento, que se aplica en todos los Estados miembros. Las particularidades alemanas de la BDSG se señalan como indicaciones nacionales; las normas nacionales de otros Estados miembros las comprueba usted mismo.

Sí, como responsable del despliegue: debe adoptar medidas de alfabetización en IA de los usuarios y excluir las prácticas prohibidas. Otras obligaciones surgen solo en finalidades de uso de alto riesgo o en casos de transparencia.

La IA para el control de calidad o la optimización del rendimiento no se considera componente de seguridad. Para los componentes de seguridad de máquinas basados en IA, del Reglamento de IA se aplican solo unos pocos artículos; los requisitos llegan a través del Reglamento de máquinas. Complass vincula para ello los proyectos de Reglamento de IA, Reglamento de máquinas y CRA.

Solo en determinados casos. El art. 27, apartado 1, obliga a los responsables del despliegue que sean organismos de Derecho público o entidades privadas que presten servicios públicos, así como a los responsables del despliegue de sistemas de IA de alto riesgo con arreglo al anexo III, punto 5, letras b) y c) (solvencia, evaluación de riesgos y fijación de precios en seguros de vida y de salud), y ello antes del primer uso. La obligación no se aplica a los sistemas de IA de alto riesgo en el ámbito de las infraestructuras críticas (anexo III, punto 2). Complass ofrece una indicación según su clasificación; la decisión la toma usted.

No. Complass estructura la clasificación, las obligaciones y las evidencias a partir del texto legal; la valoración jurídica del caso concreto sigue en sus manos.

En parte. La obligación de diseñar los productos para el acceso a los datos se aplica solo a los productos conectados y servicios relacionados comercializados después del 12 de septiembre de 2026; lo determinante es cada dispositivo concreto, no la serie. Los derechos de los usuarios de acceso a los datos fácilmente disponibles y de cesión a terceros, en cambio, no tienen fecha propia y se aplican desde el 12 de septiembre de 2025. Según las FAQ de la Comisión Europea, abarcan también las máquinas que ya están en el campo.

Las obligaciones de acceso a los datos del capítulo II no se aplican a microempresas y pequeñas empresas, siempre que no tengan empresas asociadas o vinculadas de mayor tamaño y no hayan sido contratadas como subcontratistas para la fabricación o el diseño de un producto conectado. Las normas sobre cláusulas contractuales abusivas y cambio de nube se aplican igualmente. Complass le guía en este examen.

Como usuario puede solicitar al titular de los datos los datos fácilmente disponibles de sus máquinas, de forma gratuita y en formato legible por máquina, y su cesión a un tercero de su elección, por ejemplo un socio de servicio. Complass ayuda a solicitar los datos, a revisar contratos y a definir requisitos para la compra de nuevas máquinas.

No. Complass estructura roles, obligaciones y evidencias a partir del texto legal y ofrece plantillas con formulaciones de ejemplo; los contratos y los textos dirigidos a clientes debe someterlos a revisión jurídica antes de su uso.

No. Es Derecho alemán y se aplica a las instalaciones críticas en Alemania. Los demás Estados miembros de la UE transponen la Directiva CER con sus propias leyes; para las instalaciones situadas allí rige el Derecho nacional correspondiente.

El reglamento con los umbrales todavía no está promulgado. Registre ya sus servicios, instalaciones y valores del grado de abastecimiento y documente la valoración. Si una instalación se considera crítica, quedan tres meses para el registro; diez meses después del registro deben estar listos el plan de resiliencia y el sistema de notificaciones.

No. La ley BSI regula la ciberseguridad; el KRITIS-Dachgesetz, la protección física y el mantenimiento del abastecimiento. El registro, no obstante, se realiza conjuntamente, y los análisis de riesgos, documentos y certificados existentes pueden utilizarse como evidencia (§ 17). En Complass utiliza la gestión de riesgos para los riesgos de ambas leyes.

Solo hay multas para determinadas infracciones, con importes máximos de entre 100.000 y 1 millón de euros: datos de registro ausentes o incorrectos, incumplimiento de órdenes ejecutables, resultados de auditoría no transmitidos y denegación de acceso o de información en una inspección (§ 24). Ante la falta de medidas, la autoridad puede ordenar la subsanación de las deficiencias (§ 16); la dirección responde conforme al Derecho de sociedades (§ 20).

No. Complass estructura la comprobación de la afectación, las obligaciones y las evidencias a partir del texto legal; la valoración jurídica del caso concreto sigue en sus manos.

Por lo general sí: la máquina con módulo de radio es entonces en sí misma un equipo radioeléctrico y, si puede comunicarse a través de Internet, se aplica el requisito de protección de la red. El módulo RED de Complass le ayuda con la clasificación.

Solo si aplica íntegramente normas armonizadas para todos los requisitos esenciales aplicables y no se da ninguna de las restricciones publicadas en el Diario Oficial, por ejemplo porque, al aplicar los apartados 6.2.5.1 y 6.2.5.2 de la EN 18031, se permite al usuario no establecer ni usar una contraseña. En caso contrario, debe intervenir un organismo notificado.

Sí. Los equipos radioeléctricos comercializados hasta entonces deben cumplir los requisitos de la RED, y la evaluación de riesgos, el concepto de seguridad y los informes de ensayo pueden trasladarse a su proyecto de CRA.

De forma indirecta, sí: sus clientes deben acreditar los requisitos de ciberseguridad del MDR y esperan de usted datos y compromisos para ello. Si vende el componente también a otros sectores, por lo general se aplica además la Cyber Resilience Act. El módulo incluye una fase propia para proveedores.

No. Complass estructura los requisitos de ciberseguridad y las evidencias y puede integrarse en su sistema de gestión de la calidad existente; la evaluación de la conformidad y las aprobaciones siguen en manos de usted y de su organismo notificado.

El módulo describe las actividades con palabras propias, con referencia a los apartados. El texto de la norma lo obtiene usted a través de la distribución de normas; puede guardar en el proyecto extractos de su edición con licencia.

La ley no lo exige, pero la oficina de denuncias debería tramitar también las denuncias anónimas. Complass ofrece la vía anónima de forma predeterminada porque reduce la reticencia a denunciar; quien lo desee puede indicar su nombre voluntariamente.

Solo si forma parte de la oficina de denuncias. Los administradores designan la oficina de denuncias, pero no ven ningún contenido. Los miembros anteriores ven de inmediato cualquier cambio en la composición, de modo que nadie pueda leer en secreto.

Para la mayoría de las empresas más pequeñas la obligación no se aplica, con excepción de las entidades financieras. Como el canal de denuncias y el marco normativo están incluidos en la protección básica, puede ofrecer el canal igualmente sin coste adicional.

No. Complass proporciona el canal de denuncias, el procedimiento y las evidencias; cómo debe valorarse jurídicamente una infracción denunciada lo decide su oficina de denuncias en cada caso concreto.

Sí, de forma indirecta, si presta servicios de TIC a entidades financieras. Sus clientes deben acordar con usted los contenidos contractuales conforme al art. 30 y le exigen datos para su registro de información, apoyo en incidentes, auditorías y regulaciones de salida. La supervisión directa solo alcanza a los terceros proveedores críticos de servicios de TIC conforme al art. 31.

Para las entidades financieras, DORA es el acto jurídico más específico; el § 28, apdo. 6, BSIG las exime de las obligaciones centrales de NIS2. Los proveedores de TIC, en cambio, pueden estar sujetos ellos mismos a NIS2 y deber cumplir además los requisitos DORA de sus clientes. La comprobación de afectación de Complass examina el lado NIS2.

No. Complass le ayuda a documentar incidentes con marcas de tiempo, a fundamentar con preguntas de verificación su clasificación como graves, a calcular los plazos de notificación y a preparar las notificaciones con sus datos obligatorios. La notificación en sí la presenta usted por la vía que establezca la autoridad de supervisión; la valoración jurídica de cada caso le corresponde a usted.

En el registro «Contratos y licencias» de la gestión de activos, con duración, plazo de preaviso, responsables, activos vinculados y evidencias; con la gestión de proveedores, también en el proveedor de servicios correspondiente. Aporta datos para su registro de información conforme al art. 28 DORA; Complass no ofrece una exportación en el formato del Reglamento de Ejecución (UE) 2024/2956.

No. El organismo de certificación de ISO 27001 sobre la base de IT-Grundschutz es el BSI; la auditoría la realiza un auditor certificado por el BSI. Complass le prepara con plantillas, catálogos y evidencias.

No. Para la edición 2023, Complass incluye identificadores, niveles y descripciones breves propias; el tenor literal puede consultarlo en el compendio gratuito del BSI. Los requisitos de Grundschutz++ los publica el BSI bajo la licencia CC BY-SA 4.0 y se incluyen en su tenor literal original.

Quien quiera certificarse a corto plazo puede hacerlo hasta el 30 de noviembre de 2031 sobre la base del IT-Grundschutz clásico. Quien desee certificarse en 2027 o más tarde hará mejor en planificar directamente con Grundschutz++; el análisis de estructura, la necesidad de protección y el análisis de riesgos siguen siendo utilizables en ambos casos.

No. La etiqueta requiere una evaluación por parte de un proveedor de auditoría autorizado por ENX, y es esa evaluación la que decide si la obtiene. Complass le prepara para ello: con autoevaluación, nivel de madurez actual por requisito, plantillas, evidencias y plan de medidas.

No. Para cada requisito, Complass indica solo el número del VDA ISA y lo describe con palabras propias. El catálogo oficial lo descarga de ENX y lo utiliza en paralelo; puede guardar extractos en el proyecto.

No. El registro, el encargo al proveedor de auditoría y el intercambio del resultado se realizan a través del portal de ENX. Complass prepara los datos necesarios con una lista de comprobación.

Sí. El VDA ISA se basa en gran medida en ISO/IEC 27001 y 27002, por lo que ya habrá implantado muchos requisitos. Las plantillas de políticas del módulo TISAX están estructuradas como en el módulo ISO 27001. La protección de prototipos y la protección de datos se añaden cuando hacen falta.

Para las evaluaciones encargadas a partir del 01/01/2027 se aplica el VDA ISA 2027, con números en parte nuevos. Sus respuestas en Complass están ligadas a identificadores propios y estables y se conservan en la transición. Los números según el VDA ISA 2027 están en preparación.

El proveedor puede implementar la parte técnica, pero la responsabilidad sigue en manos de la dirección de la consulta. Las reglas para el equipo, la formación y las evidencias corren de su cuenta. En Complass registra qué requisitos confirma el proveedor y cuáles aplica la propia consulta.

No, las consultas dentales aplican la directriz de la KZBV. Ambas versiones tienen la misma estructura y numeración; Complass muestra en cada requisito el texto de la KBV y, donde difiere, el de la KZBV.

No. La directriz no prescribe ningún certificado. Pero debe poder acreditar la aplicación, por ejemplo ante la Asociación de Médicos o de Odontólogos de la Seguridad Social, la autoridad de protección de datos o, tras un incidente, ante las aseguradoras.

El § 391 SGB V se aplica a todos los hospitales y exige medidas conforme al estado de la técnica. El B3S es el camino que la BSI ha constatado como idóneo para ello y, por tanto, también para los centros más pequeños la referencia más natural.

No. El B3S es una obra de la DKG. Complass describe los requisitos con palabras propias y remite a capítulos y números ANF. El estándar lo obtiene gratuitamente en la DKG; puede guardar extractos en su proyecto.

No. Las medidas que documenta en el proyecto B3S las asigna Complass, a través del catálogo común de medidas, también al marco normativo NIS2.

No. El CSF no es certificable. Complass le ayuda a describir y acreditar su situación como perfil; con ello no se genera ningún certificado ni sello.

Los cuatro tiers (Partial, Risk Informed, Repeatable, Adaptive) indican el grado de consolidación de su gobernanza y de su gestión de riesgos en su conjunto. El tier actual y el deseado se recogen en una plantilla.

No. A través de las medidas comunes, Complass propone reutilizar evaluaciones y evidencias. Usted revisa técnicamente cada propuesta antes de confirmarla.

No. Las complementa como forma de presentación ante clientes y aseguradoras. Las obligaciones legales se mantienen.

No. Ni el SSDF ni OWASP SAMM son certificables. Complass le ayuda a describir y acreditar su grado de implantación y su nivel de madurez.

No de forma automática. El SSDF cubre muchos requisitos de desarrollo y de gestión de vulnerabilidades, y Complass muestra la correspondencia con el anexo I. La evaluación de la conformidad con arreglo al CRA sigue siendo una tarea independiente.

El SSDF indica qué hay que hacer; SAMM muestra el grado de consolidación. Con los niveles del 0 al 3 puede medir el progreso y fijar objetivos.

No. A través de las medidas comunes, Complass propone reutilizar evaluaciones y evidencias. Usted revisa cada propuesta antes de confirmarla.

Sí. Como fabricante, importador o distribuidor tiene sus obligaciones aunque el mercado en línea tenga además obligaciones propias. Complass le asigna el rol por producto.

No. Complass prepara los datos para la notificación en el Safety Business Gateway y documenta el caso; la notificación la presenta usted mismo.

No. Complass estructura roles, obligaciones y evidencias a partir del texto del reglamento; la valoración jurídica de cada caso le corresponde a usted.

El módulo está en preparación. Indicaremos una fecha solo cuando esté fijada. Póngase en contacto con nosotros: le mostraremos el estado actual y cómo puede empezar ya hoy en Complass con ISO/IEC 27001 o NIS2.

Para la operación de redes y para las instalaciones energéticas de entidades importantes o especialmente importantes se aplican los §§ 5c a 5e EnWG; para ello decaen la mayoría de las obligaciones de la ley BSI. La clasificación y el registro conforme a la ley BSI se mantienen. Para otros sectores como el agua o las aguas residuales se aplica la ley BSI. Si la instalación energética es solo una actividad accesoria en relación con el conjunto de la actividad empresarial, se aplica igualmente la ley BSI.

Para los gestores de redes, el catálogo de agosto de 2015; para los operadores de instalaciones, el catálogo de diciembre de 2018. Según la Bundesnetzagentur, ambos siguen vigentes hasta que se publique un nuevo catálogo. Fecha de la comprobación: 10.10.2026.

La Bundesnetzagentur revisa los catálogos junto con la BSI para formar un único catálogo que deberá aplicarse también a los servicios digitales de energía. El borrador de consulta indica el 01.01.2027 como inicio de aplicación. Todavía no está decidido. Su trabajo sobre los doce temas del § 5c, apdo. 4, EnWG cuenta en cualquier caso, porque todo catálogo debe incluirlos.

Si hasta ahora estaba sujeto al § 8a BSIG en su versión anterior, siga aplicando el «B3S Aggregatoren» de la BDEW. En caso contrario, implante un SGSI conforme a ISO/IEC 27001 y oriéntese por los doce temas. En Complass valora esos temas y añade el nuevo catálogo en cuanto se establezca.

Al punto de notificación de la BSI: una alerta temprana en un plazo de 24 horas, una notificación en un plazo de 72 horas y una notificación final como máximo un mes después. Si el incidente tiene relevancia para la seguridad del abastecimiento energético, la BSI remite la notificación a la Bundesnetzagentur (§ 5d, apdo. 5, EnWG).

No. Complass estructura la comprobación de la afectación, las obligaciones y las evidencias a partir del texto legal y de los catálogos; la valoración jurídica del caso concreto sigue en sus manos.