Questions fréquentes

Non. Complass explique chaque étape en langage clair, avec des modèles, des exemples de textes et des renvois vers la source. Votre équipe met en œuvre de manière autonome. Si vous souhaitez un appui, vous pouvez ajouter un accompagnement complémentaire.

Oui. Votre administrateur connecte Teams et Jira en quelques étapes. Les notifications et validations passent alors par Teams, et les mesures deviennent des tickets Jira. C’est toujours une personne responsable qui confirme dans Complass ce qui est considéré comme terminé, afin que la preuve soit fiable.

L’interface est disponible en allemand et en anglais. Le français, l’espagnol, l’italien, le néerlandais, le polonais et le portugais sont disponibles en version Beta ; les textes de ces langues n’ont pas encore été relus par des experts métier.

Pas directement, si vous ne relevez pas vous-même du § 28 BSIG. Vos clients, en revanche, doivent tenir compte de la sécurité de la chaîne d’approvisionnement et demandent souvent des preuves. Vous pouvez les fournir de manière structurée avec Complass, par exemple via l’ISO 27001.

Le BSIG n’exige pas de certification. L’ISO/IEC 27001 est toutefois un référentiel éprouvé ; dans Complass, vous reliez les deux catalogues afin que les preuves comptent pour les deux.

Non. La certification est réalisée par un organisme de certification accrédité. Complass vous prépare avec les documents, la déclaration d’applicabilité et les preuves.

Non, les normes sont protégées par le droit d’auteur. Complass explique les exigences et renvoie à l’article ; vous pouvez conserver vos propres extraits de votre exemplaire sous licence.

Le module s’adresse aux propriétaires d’actifs et aux intégrateurs. Les fabricants mettent actuellement en œuvre les exigences produit via le module CRA, qui est relié à l’IEC 62443.

Non, les normes IEC sont protégées par le droit d’auteur. Complass explique les exigences et renvoie à la source ; vous pouvez conserver vos propres extraits.

Souvent les deux. Complass montre les recoupements et relie les catalogues afin que vous ne fournissiez la preuve qu’une seule fois.

Non. Complass calcule les délais et prépare le contenu ; vous transmettez la notification via la plateforme de notification.

Peut-être, si la modification est considérée comme substantielle. Le module contient pour cela une évaluation dédiée avec un modèle.

Une phase du module traite de l’articulation entre le règlement Machines, le CRA et l’IEC 62443 ; les catalogues peuvent être reliés.

Pour les composants de sécurité d’IA qui sont des systèmes d’IA à haut risque, seuls quelques articles du règlement sur l’IA s’appliquent depuis le 27 juillet 2026 ; leurs exigences passent, à partir du 2 août 2028, par l’annexe III du règlement Machines. Les fonctions d’IA sans lien avec la sécurité, par exemple une prévision d’usure, sont toujours à examiner selon les règles générales du règlement sur l’IA. Le module vous guide dans la classification.

Les deux modules relèvent du référentiel IEC 62443 et utilisent le même modèle de zones. Vous réalisez l’analyse des écarts par rapport aux exigences système individuelles de 3-3 dans le module exploitant, idéalement avec votre client.

Non, les normes IEC sont protégées par le droit d’auteur. Complass explique les exigences avec ses propres mots et renvoie au numéro de l’exigence ; vous pouvez déposer vos propres extraits.

Non. Des normes harmonisées pour le CRA sont en préparation ; tant que leurs références ne sont pas publiées au Journal officiel, IEC 62443 n’emporte pas de présomption de conformité. Vous pouvez toutefois décrire 4-1 et 4-2 comme solution technique retenue dans la documentation technique ; le module contient pour cela un modèle de correspondance.

Non, les normes IEC sont protégées par le droit d’auteur. Complass explique les exigences avec ses propres mots et renvoie aux numéros ; vous pouvez déposer vos propres extraits de votre édition sous licence.

Pas obligatoirement. De nombreux fabricants commencent par une autodéclaration du SL-C et étayent le processus par leurs propres preuves. Un certificat de processus ou de produit délivré par un organisme indépendant renforce la confiance des clients ; le module aide à rassembler les preuves nécessaires.

Non. Complass structure la mise en œuvre et la preuve ; le conseil et le contrôle restent la mission du délégué à la protection des données, là où il y en a un. Les contenus ne remplacent pas un conseil juridique.

Non. Complass aide à l’évaluation, au contenu et à la documentation de la notification ; vous effectuez la notification par la voie de notification de votre autorité de contrôle.

Oui. Les contenus suivent le règlement, qui s’applique dans tous les États membres. Les particularités allemandes issues de la BDSG sont signalées comme remarques nationales ; vous vérifiez vous-même les règles nationales des autres États membres.

Oui, en tant que déployeur : vous devez prendre des mesures pour la maîtrise de l’IA des utilisateurs et exclure les pratiques interdites. D’autres obligations n’apparaissent que pour des finalités à haut risque ou des cas de transparence.

L’IA destinée au contrôle qualité ou à l’optimisation des performances n’est pas considérée comme un composant de sécurité. Pour les composants de sécurité d’IA des machines, seuls quelques articles du règlement sur l’IA s’appliquent ; les exigences viennent par le règlement Machines. Complass relie pour cela les projets règlement sur l’IA, règlement Machines et CRA.

Seulement dans certains cas. L'art. 27, paragraphe 1, oblige les déployeurs qui sont des organismes de droit public ou des entités privées fournissant des services publics, ainsi que les déployeurs de systèmes d'IA à haut risque visés à l'annexe III, point 5 b) et c) (évaluation de la solvabilité, évaluation des risques et tarification en matière d'assurance vie et maladie), et ce avant la première utilisation. L'obligation ne s'applique pas aux systèmes d'IA à haut risque dans le domaine des infrastructures critiques (annexe III, point 2). Complass donne une indication d'après votre classification ; la décision vous appartient.

Non. Complass structure la classification, les obligations et les preuves à partir du texte de la loi ; l’appréciation juridique du cas particulier vous revient.

En partie. L’obligation de concevoir les produits pour l’accès aux données ne vaut que pour les produits connectés et services connexes mis sur le marché après le 12 septembre 2026 ; c’est l’appareil individuel qui compte, pas la série. Les droits des utilisateurs d’accéder aux données facilement disponibles et de les faire transmettre à des tiers n’ont en revanche pas de date propre et s’appliquent depuis le 12 septembre 2025. Selon la FAQ de la Commission européenne, ils couvrent aussi les machines déjà en service.

Les obligations d’accès aux données du chapitre II ne s’appliquent pas aux micro et petites entreprises, à condition qu’elles n’aient pas d’entreprises partenaires ou liées plus grandes et n’aient pas été chargées, en sous-traitance, de la fabrication ou de la conception d’un produit connecté. Les règles relatives aux clauses contractuelles abusives et au changement de cloud s’appliquent malgré tout. Complass vous guide dans cette vérification.

En tant qu’utilisateur, vous pouvez exiger du détenteur de données les données facilement disponibles de vos machines, gratuitement et dans un format lisible par machine, ainsi que leur transmission à un tiers de votre choix, par exemple un partenaire de service. Complass vous aide à demander les données, à examiner les contrats et à définir des exigences pour l’achat de nouvelles machines.

Non. Complass structure les rôles, obligations et preuves à partir du texte de la loi et fournit des modèles avec des formulations d’exemple ; faites examiner juridiquement les contrats et les textes destinés aux clients avant utilisation.

Non. C’est du droit allemand, qui s’applique aux installations critiques situées en Allemagne. Les autres États membres de l’UE transposent la directive CER par leurs propres lois ; les installations qui s’y trouvent relèvent du droit national respectif.

L’ordonnance fixant les seuils n’est pas encore promulguée. Recensez dès maintenant vos services, installations et valeurs du niveau d’approvisionnement et documentez votre appréciation. Dès qu’une installation est considérée comme critique, vous disposez de trois mois pour l’enregistrement ; dix mois après l’enregistrement, le plan de résilience et le dispositif de notification doivent être en place.

Non. La loi sur le BSI régit la cybersécurité, la loi-cadre KRITIS la protection physique et le maintien de l’approvisionnement. L’enregistrement est toutefois commun, et vous pouvez utiliser comme preuves les analyses de risques, documents et certificats existants (§ 17). Dans Complass, vous utilisez la gestion des risques pour les risques relevant des deux lois.

Des amendes ne sont prévues que pour certaines infractions, avec des montants maximaux compris entre 100 000 euros et 1 million d’euros : données d’enregistrement manquantes ou inexactes, non-respect d’injonctions exécutoires, résultats d’audit non transmis, ainsi que refus d’accès ou de renseignements lors d’un contrôle (§ 24). En cas de mesures manquantes, l’autorité peut ordonner de remédier aux manquements (§ 16) ; la direction est responsable selon le droit des sociétés (§ 20).

Non. Complass structure la vérification de l’assujettissement, les obligations et les preuves à partir du texte de la loi ; l’appréciation juridique du cas particulier vous revient.

En règle générale, oui : la machine dotée d’un module radio est alors elle-même un équipement radioélectrique, et si elle peut communiquer via Internet, l’exigence de protection du réseau s’applique. Le module RED de Complass vous aide à la qualification.

Uniquement si vous appliquez intégralement des normes harmonisées pour toutes les exigences essentielles applicables et qu’aucune des restrictions publiées au Journal officiel ne s’applique, par exemple parce que l’utilisateur peut, en application des points 6.2.5.1 et 6.2.5.2 de l’EN 18031, ne pas définir ni utiliser de mot de passe. Sinon, un organisme notifié doit intervenir.

Oui. Les équipements radioélectriques mis sur le marché d’ici là doivent satisfaire aux exigences de la RED, et l’évaluation des risques, le concept de sécurité et les rapports d’essai peuvent être repris dans votre projet CRA.

Indirectement, oui : vos clients doivent démontrer les exigences cyber du MDR et attendent pour cela des informations et des engagements de votre part. Si vous vendez aussi le composant à d’autres secteurs, le règlement sur la cyberrésilience s’applique en règle générale en plus. Le module comporte une phase dédiée aux fournisseurs.

Non. Complass structure les exigences cyber et les preuves et peut s’intégrer à votre SMQ existant ; l’évaluation de la conformité et les validations restent du ressort de votre entreprise et de votre organisme notifié.

Le module décrit les activités avec ses propres mots, avec renvoi aux sections. Vous vous procurez le texte de la norme lui-même auprès d’un distributeur de normes ; vous pouvez déposer dans le projet des extraits de votre édition sous licence.

La loi ne l’impose pas, mais le service de signalement doit traiter les signalements anonymes. Complass propose par défaut la voie anonyme, car elle abaisse le seuil d’hésitation ; qui le souhaite peut indiquer son nom volontairement.

Seulement si elle fait elle-même partie du service de signalement. Les administrateurs désignent le service de signalement, mais ne voient aucun contenu. Tout changement de composition est immédiatement visible pour les membres actuels, afin que personne ne lise à l’insu des autres.

Pour la plupart des petites entreprises, l’obligation ne s’applique pas, à l’exception des établissements financiers. Comme le canal de signalement et le référentiel sont inclus dans la protection de base, vous pouvez néanmoins proposer le canal sans coût supplémentaire.

Non. Complass met à disposition le canal de signalement, la procédure et les preuves ; l’appréciation juridique d’une infraction signalée relève de votre service de signalement, au cas par cas.

Oui, indirectement, si vous fournissez des services TIC à des entités financières. Vos clients doivent convenir avec vous du contenu contractuel selon l’art. 30 et exigent des informations pour leur registre, une assistance en cas d’incident, des audits et des stratégies de sortie. Seuls les prestataires tiers critiques de services TIC selon l’art. 31 sont soumis à une surveillance directe.

Pour les entités financières, DORA est l’acte plus spécifique ; le § 28, al. 6, BSIG les exempte des obligations centrales de NIS2. Les prestataires TIC peuvent en revanche relever eux-mêmes de NIS2 et devoir en outre satisfaire aux exigences DORA de leurs clients. La vérification de l’assujettissement dans Complass couvre le volet NIS2.

Non. Complass vous aide à documenter les incidents avec horodatage, à justifier la qualification de majeur à l’aide de questions de contrôle, à calculer les délais de notification et à préparer les notifications avec leurs informations obligatoires. La notification elle-même, vous la transmettez par la voie prescrite par l’autorité de surveillance ; l’appréciation juridique au cas par cas vous revient.

Dans le registre « Contrats et licences » de la gestion des actifs, avec durée, délai de résiliation, responsables, actifs liés et preuves ; avec la gestion des fournisseurs, également auprès du prestataire concerné. Il fournit des informations pour votre registre d’informations selon l’art. 28 DORA ; Complass ne propose pas d’export au format du règlement d’exécution (UE) 2024/2956.

Non. L’organisme de certification pour ISO 27001 sur la base de l’IT-Grundschutz est le BSI ; l’audit est réalisé par un auditeur certifié par le BSI. Complass vous y prépare avec des modèles, des catalogues et des preuves.

Non. Pour l’édition 2023, Complass contient des identifiants, des niveaux et ses propres descriptions courtes ; vous consultez le texte dans le Compendium gratuit du BSI. Le BSI publie les exigences de Grundschutz++ sous licence CC BY-SA 4.0 ; elles sont incluses dans leur texte original.

Qui souhaite se certifier à court terme peut le faire jusqu’au 30 novembre 2031 sur la base de l’IT-Grundschutz classique. Qui ne souhaite se certifier qu’en 2027 ou plus tard a intérêt à planifier directement avec Grundschutz++ ; l’analyse de structure, le besoin de protection et l’analyse des risques restent utilisables dans les deux cas.

Non. Le label suppose une évaluation par un prestataire d’audit agréé par l’ENX, et c’est cette évaluation qui décide si vous l’obtenez. Complass vous y prépare : avec une auto-évaluation, le niveau de maturité actuel par exigence, des modèles, des preuves et un plan d’actions.

Non. Pour chaque exigence, Complass indique uniquement le numéro du VDA ISA et la décrit avec ses propres mots. Vous téléchargez le catalogue officiel auprès de l’ENX et l’utilisez en parallèle ; vous pouvez en déposer des extraits dans le projet.

Non. L’enregistrement, la commande au prestataire d’audit et le partage du résultat passent par le portail de l’ENX. Complass prépare les informations nécessaires avec une liste de contrôle.

Oui. Le VDA ISA s’appuie étroitement sur l’ISO/IEC 27001 et 27002 ; vous avez donc déjà mis en œuvre de nombreuses exigences. Les modèles de politiques du module TISAX sont structurés comme dans le module ISO 27001. La protection des prototypes et la protection des données s’ajoutent au besoin.

Pour les évaluations commandées à partir du 01/01/2027, le VDA ISA 2027 s’applique, avec des numéros en partie nouveaux. Vos réponses dans Complass reposent sur des identifiants propres et stables et sont conservées lors de la transition. Les numéros selon le VDA ISA 2027 sont en préparation.

Le prestataire peut mettre en œuvre la technique, mais la responsabilité reste à la direction du cabinet. Les règles pour l’équipe, la formation et les preuves vous incombent. Dans Complass, vous consignez quelles exigences le prestataire confirme et lesquelles le cabinet met en œuvre lui-même.

Non, les cabinets dentaires appliquent la directive de la KZBV. Les deux versions ont la même structure et la même numérotation ; pour chaque exigence, Complass affiche le libellé de la KBV et, lorsqu’il diffère, celui de la KZBV.

Non. La directive ne prescrit pas de certificat. Vous devez toutefois pouvoir prouver la mise en œuvre, par exemple à l’association régionale des médecins ou des dentistes conventionnés, à l’autorité de protection des données ou, après un incident, aux assureurs.

Le § 391 SGB V s’applique à tous les hôpitaux et exige des mesures selon l’état de l’art. Le B3S est la voie reconnue adéquate par le BSI et constitue donc aussi, pour les petits établissements, la référence évidente.

Non. Le B3S est une œuvre de la DKG. Complass décrit les exigences avec ses propres mots et renvoie aux chapitres et aux numéros ANF. Vous obtenez la norme gratuitement auprès de la DKG ; vous pouvez en déposer des extraits dans votre projet.

Non. Les mesures que vous documentez dans le projet B3S sont aussi rattachées par Complass au référentiel NIS2 grâce au catalogue de mesures commun.

Non. Le CSF n’est pas certifiable. Complass vous aide à décrire et à justifier votre situation sous forme de profil ; il n’en résulte ni certificat ni label.

Les quatre tiers (Partial, Risk Informed, Repeatable, Adaptive) indiquent le degré de maturité de votre gouvernance et de votre gestion des risques dans leur ensemble. Vous consignez le tier actuel et le tier visé dans un modèle.

Non. Grâce aux mesures communes, Complass vous propose de reprendre évaluations et preuves. Vous examinez chaque proposition sur le fond avant de la confirmer.

Non. Il les complète comme présentation de votre situation auprès des clients et des assureurs. Les obligations légales demeurent.

Non. Ni le SSDF ni OWASP SAMM ne sont certifiables. Complass vous aide à décrire et à justifier votre état de mise en œuvre et votre niveau de maturité.

Pas automatiquement. Le SSDF couvre de nombreuses exigences relatives au développement et au traitement des vulnérabilités, et Complass montre la correspondance avec l’annexe I. L’évaluation de la conformité au titre du CRA reste une tâche à part.

Le SSDF dit ce qu’il faut faire ; SAMM montre le degré de maturité atteint. Avec les niveaux de 0 à 3, vous pouvez mesurer les progrès et fixer des objectifs.

Non. Grâce aux mesures communes, Complass vous propose de reprendre évaluations et preuves. Vous examinez chaque proposition avant de la confirmer.

Oui. En tant que fabricant, importateur ou distributeur, vous avez vos obligations même si la place de marché a en plus ses propres obligations. Complass vous attribue le rôle pour chaque produit.

Non. Complass prépare les informations pour la déclaration dans le Safety Business Gateway et documente le dossier ; la déclaration, vous la faites vous-même.

Non. Complass structure les rôles, les obligations et les preuves à partir du texte du règlement ; l’appréciation juridique au cas par cas vous revient.

Le module est en préparation. Nous n'indiquerons une date que lorsqu'elle sera arrêtée. Contactez-nous : nous vous montrerons l'état actuel et comment vous pouvez commencer dès aujourd'hui dans Complass avec l'ISO/IEC 27001 ou NIS2.

Pour l’exploitation de réseau et pour les installations énergétiques d’entités importantes ou particulièrement importantes, les §§ 5c à 5e EnWG s’appliquent ; la plupart des obligations de la loi sur le BSI ne s’y appliquent pas. Le classement et l’enregistrement selon la loi sur le BSI demeurent. Pour les autres branches comme l’eau ou les eaux usées, la loi sur le BSI s’applique. Si l’installation énergétique n’est qu’une activité accessoire par rapport à l’ensemble de l’activité, la loi sur le BSI s’applique également.

Pour les gestionnaires de réseau, le catalogue d’août 2015 ; pour les exploitants d’installations, le catalogue de décembre 2018. Selon la Bundesnetzagentur, les deux restent applicables jusqu’à la publication d’un nouveau catalogue. État de la vérification : 10.10.2026.

La Bundesnetzagentur révise les catalogues avec le BSI pour en faire un catalogue unique, qui doit aussi s’appliquer aux services énergétiques numériques. Le projet de consultation indique le 01.01.2027 comme date d’application. Ce n’est pas encore arrêté. Votre travail sur les douze thèmes du § 5c, al. 4, EnWG compte dans tous les cas, car chaque catalogue doit les contenir.

Si vous releviez jusqu’ici du § 8a BSIG ancienne version, continuez à appliquer le « B3S Aggregatoren » du BDEW. Sinon, mettez en place un ISMS selon ISO/IEC 27001 et orientez-vous sur les douze thèmes. Dans Complass, vous évaluez ces thèmes et ajoutez le nouveau catalogue dès qu’il est arrêté.

Au point de notification du BSI : une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final au plus tard un mois après. Si l’incident est important pour la sécurité de l’approvisionnement énergétique, le BSI transmet la notification à la Bundesnetzagentur (§ 5d, al. 5, EnWG).

Non. Complass structure la vérification de l’assujettissement, les obligations et les preuves à partir du texte de la loi et des catalogues ; l’appréciation juridique du cas particulier vous revient.