Domande frequenti

No. Complass spiega ogni passo in un linguaggio semplice, con modelli, testi di esempio e rimandi alla fonte. Il vostro team procede in autonomia con l’attuazione. Se desiderate supporto, potete aggiungere una consulenza di accompagnamento.

Sì. Il Suo amministratore collega Teams e Jira in pochi passaggi. Notifiche e approvazioni passano quindi da Teams, le misure diventano ticket Jira. Ciò che si considera completato continua a essere confermato in Complass da una persona responsabile, affinché l’evidenza sia corretta.

L’interfaccia è disponibile in tedesco e inglese. Francese, spagnolo, italiano, olandese, polacco e portoghese sono disponibili in versione Beta; i testi in queste lingue non sono ancora stati verificati da esperti del settore.

Non direttamente, se non rientrate voi stessi nel § 28 BSIG. I vostri clienti, però, devono considerare la sicurezza della catena di fornitura e spesso chiedono evidenze. Con Complass potete fornirle in modo strutturato, ad es. tramite ISO 27001.

Il BSIG non richiede la certificazione. ISO/IEC 27001 è comunque un framework collaudato; in Complass collegate entrambi i cataloghi in modo che le evidenze valgano per entrambi.

No. La certificazione viene rilasciata da un organismo di certificazione accreditato. Complass vi prepara con documenti, dichiarazione di applicabilità ed evidenze.

No, le norme sono protette dal diritto d’autore. Complass spiega i requisiti e rimanda al punto della norma; potete archiviare estratti propri dalla vostra copia con licenza.

Il modulo si rivolge ai proprietari degli asset e agli integratori. I fabbricanti attualmente attuano i requisiti di prodotto tramite il modulo CRA, collegato a IEC 62443.

No, le norme IEC sono protette dal diritto d’autore. Complass spiega i requisiti e rimanda alla fonte; potete archiviare estratti propri.

Spesso entrambi. Complass mostra le sovrapposizioni e collega i cataloghi in modo da fornire le evidenze una sola volta.

No. Complass calcola le scadenze e prepara i contenuti; la notifica la trasmettete tramite la piattaforma di notifica.

Forse, se la modifica è considerata sostanziale. Il modulo contiene una valutazione dedicata con un modello apposito.

Una fase del modulo tratta l’interazione tra regolamento macchine, CRA e IEC 62443; i cataloghi possono essere collegati.

Per i componenti di sicurezza di IA che sono sistemi di IA ad alto rischio, dal 27 luglio 2026 si applicano del regolamento sull’IA solo pochi articoli; i loro requisiti arrivano dal 2 agosto 2028 attraverso l’allegato III del regolamento macchine. Le funzioni di IA prive di rilevanza per la sicurezza, ad esempio una previsione dell’usura, restano da valutare secondo le regole generali del regolamento sull’IA. Il modulo vi guida nella classificazione.

Entrambi i moduli appartengono al framework IEC 62443 e utilizzano lo stesso modello di zone. L’analisi dei gap rispetto ai singoli requisiti di sistema della 3-3 viene condotta nel modulo per i gestori, idealmente insieme al Suo cliente.

No, le norme IEC sono protette dal diritto d’autore. Complass spiega i requisiti con parole proprie e rimanda al numero del requisito; può archiviare estratti propri.

No. Le norme armonizzate per il CRA sono in preparazione; finché i loro riferimenti non sono pubblicati nella Gazzetta ufficiale, la IEC 62443 non fonda alcuna presunzione di conformità. Può però descrivere 4-1 e 4-2 come soluzione tecnica scelta nella documentazione tecnica; il modulo contiene a tal fine un modello di confronto.

No, le norme IEC sono protette dal diritto d’autore. Complass spiega i requisiti con parole proprie e rimanda ai numeri; può archiviare estratti propri dalla Sua edizione con licenza.

Non necessariamente. Molti fabbricanti iniziano con un’autodichiarazione sull’SL-C e documentano il processo con evidenze proprie. Una certificazione di processo o di prodotto da parte di un organismo indipendente rafforza la fiducia dei clienti; il modulo aiuta a raccogliere le relative evidenze.

No. Complass struttura l’attuazione e l’evidenza; consulenza e sorveglianza restano compito del responsabile della protezione dei dati, ove ne sia stato designato uno. I contenuti non sostituiscono la consulenza legale.

No. Complass aiuta nella valutazione, nel contenuto e nella documentazione della notifica; la notifica viene presentata da Lei attraverso il canale previsto dalla Sua autorità di controllo.

Sì. I contenuti seguono il regolamento, che si applica in tutti gli Stati membri. Le particolarità tedesche derivanti dal BDSG sono contrassegnate come indicazioni nazionali; le norme nazionali di altri Stati membri deve verificarle autonomamente.

Sì, come deployer: deve adottare misure per l’alfabetizzazione in materia di IA degli utenti ed escludere le pratiche vietate. Ulteriori obblighi sorgono solo per finalità d’uso ad alto rischio o casi di trasparenza.

L’IA per il controllo qualità o l’ottimizzazione delle prestazioni non è considerata un componente di sicurezza. Per i componenti di sicurezza di macchine basati sull’IA si applicano del Regolamento sull’IA solo pochi articoli; i requisiti derivano dal Regolamento macchine. Complass collega a tal fine i progetti Regolamento IA, Regolamento macchine e CRA.

Solo in determinati casi. L’art. 27, par. 1, obbliga i deployer che sono organismi di diritto pubblico o enti privati che forniscono servizi pubblici, nonché i deployer di sistemi di IA ad alto rischio di cui all’allegato III, punto 5, lettere b) e c) (merito creditizio, valutazione del rischio e determinazione dei prezzi nelle assicurazioni sulla vita e sulla salute), e ciò prima del primo utilizzo. Per i sistemi di IA ad alto rischio nel settore delle infrastrutture critiche (allegato III, punto 2) l’obbligo non sussiste. Complass fornisce un’indicazione sulla base della vostra classificazione; la decisione la prendete voi.

No. Complass struttura classificazione, obblighi ed evidenze sulla base del testo di legge; la valutazione giuridica nel singolo caso resta a Lei.

In parte. L’obbligo di progettare i prodotti per l’accesso ai dati vale solo per i prodotti connessi e i servizi correlati immessi sul mercato dopo il 12 settembre 2026; determinante è il singolo dispositivo, non la serie. I diritti degli utenti di accedere ai dati prontamente disponibili e di condividerli con terzi non hanno invece una data di riferimento propria e si applicano dal 12 settembre 2025. Secondo le FAQ della Commissione europea riguardano anche le macchine già in uso.

Gli obblighi di accesso ai dati ai sensi del capo II non si applicano alle microimprese e alle piccole imprese, a condizione che non abbiano imprese partner o collegate di maggiori dimensioni e non siano state incaricate come subappaltatori per la fabbricazione o la progettazione di un prodotto connesso. Le norme sulle clausole contrattuali abusive e sul passaggio tra servizi cloud si applicano comunque. Complass La guida attraverso questa verifica.

Come utente può richiedere al detentore dei dati i dati prontamente disponibili delle Sue macchine, gratuitamente e in formato leggibile da dispositivo automatico, nonché la condivisione con un terzo di Sua scelta, ad esempio un partner di assistenza. Complass aiuta nella richiesta dei dati, nella verifica dei contratti e nella definizione dei requisiti per l’acquisto di nuove macchine.

No. Complass struttura ruoli, obblighi ed evidenze sulla base del testo di legge e fornisce modelli con formulazioni di esempio; contratti e testi rivolti ai clienti vanno sottoposti a verifica legale prima dell’uso.

No. È diritto tedesco e vale per gli impianti critici in Germania. Gli altri Stati membri dell’UE recepiscono la direttiva CER con leggi proprie; per gli impianti situati lì si applica il rispettivo diritto nazionale.

Il regolamento con le soglie non è ancora stato promulgato. Registri fin da ora i Suoi servizi, impianti e valori sul livello di approvvigionamento e documenti la valutazione. Se un impianto è considerato critico, restano tre mesi per la registrazione; dieci mesi dopo la registrazione devono essere pronti piano di resilienza e sistema di notifica.

No. La legge sul BSI disciplina la cibersicurezza, la legge quadro KRITIS la protezione fisica e il mantenimento dell’approvvigionamento. La registrazione avviene però congiuntamente e le analisi dei rischi, i documenti e i certificati esistenti possono essere utilizzati come evidenza (§ 17). In Complass utilizza il Risk Management per i rischi di entrambe le leggi.

Le sanzioni pecuniarie sono previste solo per determinate violazioni, con importi massimi tra 100.000 euro e 1 milione di euro: dati di registrazione mancanti o errati, inosservanza di provvedimenti esecutivi, risultati di audit non trasmessi e accesso o informazioni negati durante una verifica (§ 24). In caso di misure mancanti l’autorità può ordinare l’eliminazione delle carenze (§ 16); la direzione risponde secondo il diritto societario (§ 20).

No. Complass struttura verifica dell’applicabilità, obblighi ed evidenze sulla base del testo di legge; la valutazione giuridica nel singolo caso resta a Lei.

In genere sì: la macchina con modulo radio è allora essa stessa un’apparecchiatura radio e, se può comunicare via Internet, si applica il requisito di protezione della rete. Il modulo RED di Complass La aiuta nella classificazione.

Solo se applica integralmente le norme armonizzate per tutti i requisiti essenziali applicabili e non ricorre nessuna delle limitazioni pubblicate nella Gazzetta ufficiale, ad esempio perché, applicando i punti 6.2.5.1 e 6.2.5.2 della EN 18031, l’utente può non impostare o non utilizzare una password. In caso contrario occorre coinvolgere un organismo notificato.

Sì. Le apparecchiature radio immesse sul mercato fino ad allora devono soddisfare i requisiti RED, e valutazione dei rischi, concetto di sicurezza e rapporti di prova possono essere riportati nel Suo progetto CRA.

Indirettamente sì: i Suoi clienti devono dimostrare i requisiti cyber della MDR e si aspettano da Lei informazioni e impegni a tal fine. Se vende il componente anche ad altri settori, di regola si applica inoltre il Cyber Resilience Act. Il modulo contiene una fase dedicata ai fornitori.

No. Complass struttura i requisiti cyber e le evidenze e si integra nel Suo SGQ esistente; valutazione della conformità e approvazioni restano a Lei e al Suo organismo notificato.

Il modulo descrive le attività con parole proprie, con rimando alle sezioni. Il testo della norma deve essere acquistato presso i rivenditori di norme; estratti della Sua edizione con licenza possono essere archiviati nel progetto.

La legge non lo impone, ma l’ufficio di segnalazione dovrebbe trattare le segnalazioni anonime. Complass offre per impostazione predefinita il canale anonimo, perché abbassa la soglia di accesso; chi lo desidera può indicare volontariamente il proprio nome.

Solo se ne fa parte essa stessa. Gli amministratori nominano l’ufficio di segnalazione, ma non vedono i contenuti. I membri precedenti vedono subito ogni modifica della composizione, così nessuno può leggere di nascosto.

Per la maggior parte delle aziende più piccole l’obbligo non si applica, con l’eccezione delle imprese finanziarie. Poiché canale di segnalazione e framework sono inclusi nella protezione di base, può comunque offrire il canale senza costi aggiuntivi.

No. Complass mette a disposizione canale di segnalazione, procedura ed evidenze; la valutazione giuridica di una violazione segnalata spetta al Suo ufficio di segnalazione, caso per caso.

Sì, indirettamente, se fornisce servizi TIC a imprese finanziarie. I Suoi clienti devono concordare con Lei i contenuti contrattuali ai sensi dell’art. 30 e richiedono informazioni per il loro registro delle informazioni, supporto in caso di incidenti, audit e disposizioni di uscita. La vigilanza diretta riguarda solo i fornitori terzi critici di servizi TIC ai sensi dell’art. 31.

Per le imprese finanziarie DORA è l’atto giuridico più specifico; il § 28, comma 6, BSIG le esonera dai principali obblighi NIS2. I fornitori di servizi TIC possono invece rientrare essi stessi nella NIS2 e dover inoltre soddisfare i requisiti DORA dei loro clienti. La verifica di applicabilità in Complass controlla il lato NIS2.

No. Complass aiuta a documentare gli incidenti con marca temporale, a motivare la classificazione come grave con domande di verifica, a calcolare i termini di notifica e a preparare le notifiche con le relative informazioni obbligatorie. La notifica vera e propria la trasmette Lei attraverso il canale stabilito dall’autorità di vigilanza; la valutazione giuridica del singolo caso resta a Suo carico.

Nel registro “Contratti e licenze” dell’asset management, con durata, termine di disdetta, responsabili, asset collegati ed evidenze; con la gestione dei fornitori anche presso il fornitore di servizi interessato. Fornisce informazioni per il vostro registro delle informazioni ai sensi dell’art. 28 DORA; Complass non offre un’esportazione nel formato del regolamento di esecuzione (UE) 2024/2956.

No. L’organismo di certificazione per ISO 27001 sulla base dell’IT-Grundschutz è il BSI; la verifica è condotta da un auditor certificato dal BSI. Complass La prepara con modelli, cataloghi ed evidenze.

No. Per l’edizione 2023 Complass contiene identificativi, livelli e brevi descrizioni proprie; il testo lo legge nel Compendio gratuito del BSI. I requisiti di Grundschutz++ sono pubblicati dal BSI con licenza CC BY-SA 4.0 e sono inclusi nel testo originale.

Chi vuole certificarsi a breve può farlo fino al 30 novembre 2031 sulla base dell’IT-Grundschutz classico. Chi intende certificarsi solo nel 2027 o più tardi fa meglio a pianificare direttamente con Grundschutz++; analisi della struttura, fabbisogno di protezione e analisi del rischio restano utilizzabili in entrambi i casi.

No. L’etichetta presuppone un assessment da parte di un fornitore di audit autorizzato da ENX, ed è questo assessment a decidere se la ottenete. Complass vi prepara: con autovalutazione, livello di maturità attuale per requisito, modelli, evidenze e piano delle misure.

No. Per ogni requisito Complass indica solo il numero del VDA ISA e lo descrive con parole proprie. Il catalogo ufficiale lo scaricate da ENX e lo usate in parallelo; potete salvare estratti nel progetto.

No. Registrazione, incarico al fornitore di audit e condivisione del risultato avvengono tramite il portale di ENX. Complass prepara i dati necessari con una checklist.

Sì. Il VDA ISA si basa strettamente su ISO/IEC 27001 e 27002, quindi molti requisiti li avete già attuati. I modelli di policy nel modulo TISAX sono strutturati come nel modulo ISO 27001. Protezione dei prototipi e protezione dei dati si aggiungono se necessario.

Per gli assessment commissionati a partire dal 01/01/2027 si applica il VDA ISA 2027, con numeri in parte nuovi. Le vostre risposte in Complass sono legate a identificatori propri e stabili e vengono mantenute nel passaggio. I numeri secondo il VDA ISA 2027 sono in preparazione.

Il fornitore di servizi può attuare la parte tecnica, ma la responsabilità resta alla direzione dello studio. Regole per il team, formazione ed evidenze restano a Lei. In Complass registra quali requisiti il fornitore di servizi conferma e quali lo studio attua autonomamente.

No, gli studi odontoiatrici attuano la direttiva della KZBV. Le due versioni hanno la stessa struttura e numerazione; per ogni requisito Complass mostra il testo della KBV e, dove diverge, quello della KZBV.

No. La direttiva non prescrive alcun certificato. Deve però poter dimostrare l’attuazione, ad esempio nei confronti dell’Associazione dei medici o dei dentisti convenzionati, dell’autorità di controllo sulla protezione dei dati o, dopo un incidente, nei confronti delle assicurazioni.

Il § 391 SGB V si applica a tutti gli ospedali e richiede precauzioni secondo lo stato dell’arte. Il B3S è la via riconosciuta come idonea dal BSI ed è quindi il parametro più naturale anche per le strutture più piccole.

No. Il B3S è un’opera della DKG. Complass descrive i requisiti con parole proprie e rimanda a capitoli e numeri ANF. Lo standard è disponibile gratuitamente presso la DKG; ne può archiviare estratti nel Suo progetto.

No. Le misure documentate nel progetto B3S vengono associate da Complass anche al framework NIS2 tramite il catalogo comune delle misure.

No. Il CSF non è certificabile. Complass La aiuta a descrivere e dimostrare il Suo stato come profilo; non ne deriva alcun certificato o marchio.

I quattro tier (Partial, Risk Informed, Repeatable, Adaptive) indicano quanto siano consolidati nel complesso la Sua governance e la Sua gestione dei rischi. Il tier attuale e quello perseguito li registra in un modello.

No. Tramite le misure comuni, Complass propone di riprendere valutazioni ed evidenze. Lei verifica ogni proposta nel merito prima di confermarla.

No. Le integra come rappresentazione nei confronti di clienti e assicuratori. Gli obblighi di legge restano.

No. Né l’SSDF né OWASP SAMM sono certificabili. Complass La aiuta a descrivere e dimostrare il Suo stato di attuazione e il Suo livello di maturità.

Non automaticamente. L’SSDF copre molti requisiti per lo sviluppo e la gestione delle vulnerabilità e Complass mostra l’associazione all’allegato I. La valutazione della conformità ai sensi del CRA resta un compito a sé.

L’SSDF dice che cosa fare; SAMM mostra quanto sia consolidato. Con i livelli da 0 a 3 può misurare i progressi e fissare obiettivi.

No. Tramite le misure comuni, Complass propone di riprendere valutazioni ed evidenze. Lei verifica ogni proposta prima di confermarla.

Sì. In qualità di fabbricante, importatore o distributore ha i Suoi obblighi anche quando il marketplace ha a sua volta obblighi propri. Complass Le assegna il ruolo per ciascun prodotto.

No. Complass prepara le informazioni per la notifica nel Safety Business Gateway e documenta il caso; la notifica la presenta Lei stesso.

No. Complass struttura ruoli, obblighi ed evidenze sulla base del testo del regolamento; la valutazione giuridica del singolo caso resta a Suo carico.

Il modulo è in preparazione. Indicheremo una data solo quando sarà definita. Contattateci: vi mostreremo lo stato attuale e come potete iniziare già oggi in Complass con ISO/IEC 27001 o NIS2.

Per la gestione della rete e per gli impianti energetici di soggetti importanti o essenziali si applicano i §§ da 5c a 5e EnWG; per essi decadono la maggior parte degli obblighi della legge sul BSI. Classificazione e registrazione ai sensi della legge sul BSI restano. Per altri settori come acqua o acque reflue si applica la legge sul BSI. Se l’impianto energetico è soltanto un’attività accessoria rispetto all’intera attività aziendale, si applica parimenti la legge sul BSI.

Per i gestori di rete il catalogo di agosto 2015, per i gestori di impianti il catalogo di dicembre 2018. Secondo l’Agenzia federale delle reti entrambi restano validi finché non sarà pubblicato un nuovo catalogo. Data della verifica: 10.10.2026.

L’Agenzia federale delle reti rielabora i cataloghi insieme al BSI in un unico catalogo che dovrà valere anche per i servizi energetici digitali. La bozza di consultazione indica il 01.01.2027 come data di applicazione. Ciò non è ancora stato stabilito. Il Suo lavoro sui dodici temi del § 5c, comma 4, EnWG conta in ogni caso, perché ogni catalogo deve contenerli.

Se finora rientrava nel § 8a BSIG nella vecchia versione, continui ad attuare il “B3S Aggregatoren” del BDEW. In caso contrario costruisca un ISMS secondo ISO/IEC 27001 e si orienti ai dodici temi. In Complass valuta questi temi e integra il nuovo catalogo non appena sarà stabilito.

Al punto di segnalazione del BSI: un preallarme entro 24 ore, una notifica entro 72 ore e una notifica finale al più tardi un mese dopo. Se l’incidente riveste importanza per la sicurezza dell’approvvigionamento energetico, il BSI inoltra la notifica all’Agenzia federale delle reti (§ 5d, comma 5, EnWG).

No. Complass struttura verifica dell’applicabilità, obblighi ed evidenze sulla base del testo di legge e dei cataloghi; la valutazione giuridica nel singolo caso resta a Lei.