Complass – Navigate compliance Complass – Navigate compliance
Taal NL
Deutsch English Français Italiano Español Nederlands Polski Português
Gratis uitproberen

NIS2, CRA en meer: heeft dit gevolgen voor uw bedrijf?

Een eerste inschatting voor NIS2 (§ 28 BSIG), KRITIS, de Cyber Resilience Act en de Machineverordening, en voor ISO 27001, IEC 62443 en TISAX als vrijwillige bewijzen. Voor alle sectoren, met bijzondere diepgang voor industrie en OT. Zonder registratie, in een paar minuten.

Bedrijf

Alle vragen zijn vrijwillig; onbeantwoorde vragen tellen wij als “Weet niet”. Aangenomen uitgangspunt: activiteit tegen betaling.

1. Waar is uw bedrijf gevestigd?

NIS2 zet EU-recht nationaal om; deze check beoordeelt de Duitse omzetting (BSIG). De Cyber Resilience Act en de Machineverordening gelden rechtstreeks in de hele EU.

2. Sector

Alleen ter oriëntatie en voor de vrijblijvende aanwijzingen hieronder; voor de rechtsgevolgen telt vraag 3.

Activiteit

3. Precieze activiteit volgens NIS2 (bijlage 1/2 BSIG)

Kies de activiteit die het best past. De groepen komen overeen met de sectoren van bijlagen 1 en 2 BSIG.

Doorslaggevend is wat uw bedrijf daadwerkelijk doet, niet de sector. Activiteiten die slechts een verwaarloosbaar deel van uw bedrijf uitmaken, blijven buiten beschouwing (§ 28 lid 3 BSIG). Past er geen, kies dan “Geen van deze”.

Grootte

Bedoeld wordt uw bedrijf als juridische entiteit, bijvoorbeeld de BV, met alle vestigingen samen, niet één afzonderlijke vestiging. Of cijfers van een bedrijvengroep meetellen, vragen we in de volgende stap. Bepalend is de laatste jaarrekening.

4. Medewerkers

Voltijdmedewerkers tellen voor 1, deeltijd- en seizoenskrachten naar rato. Leerlingen en medewerkers met zwangerschaps- of ouderschapsverlof tellen niet mee. Voorbeeld: 40 voltijd- en 20 halvedagskrachten geven 50.

5. Jaaromzet

Omzet exclusief btw volgens de winst- en verliesrekening.

6. Balanstotaal

De som van de activazijde van uw balans. Deze staat in de jaarrekening of komt van uw belastingadviseur.

Vanaf 50 medewerkers geldt uw bedrijf als middelgrote onderneming. Dat geldt ook als omzet en balanstotaal beide boven € 10 mln. liggen. Bent u onzeker, kies dan “Weet niet”; het resultaat toont dan wat u moet controleren.

Bedrijvengroep

7. Bedrijvengroep

Er is sprake van een groep als een andere onderneming ten minste 25 % in uw bedrijf houdt, bijvoorbeeld een moedermaatschappij, of uw bedrijf ten minste 25 % in een ander. Is uw IT onafhankelijk van de groep, dan tellen alleen uw eigen cijfers (§ 28 lid 4 BSIG).

Zo tellen deelnemingen en gezamenlijke IT mee
  • Meer dan 50 % of overheersende invloed (verbonden onderneming): de cijfers tellen volledig mee. Dat geldt voor de moedermaatschappij, uw dochters en de zustermaatschappijen onder dezelfde moeder.
  • 25 tot 50 % (partneronderneming): de cijfers tellen naar rato mee, ter hoogte van de deelneming.
  • Onder 25 %: telt niet mee, u geldt als zelfstandig. Deelnemingen van durfkapitaalverschaffers, business angels of hogescholen tot 50 % tellen onder omstandigheden eveneens niet mee.
  • Onafhankelijke IT betekent juridisch, economisch en feitelijk gescheiden: eigen systemen en netwerken, eigen IT-beheer of een eigen dienstverlener, eigen beslissingen over beveiliging.
  • Gezamenlijke IT is bijvoorbeeld een concerndatacenter, een gemeenschappelijk netwerk of een gemeenschappelijke aanmelding (Active Directory) of een centrale IT-afdeling van de moeder.

Voorbeeld: de moedermaatschappij houdt 100 % in uw BV, maar uw IT draait volledig gescheiden. Dan tellen alleen uw eigen cijfers. De onafhankelijkheid moet u kunnen aantonen. Kies bij twijfel “IT gezamenlijk”.

Alleen invullen als u “Deel van een groep, IT gezamenlijk” hebt gekozen. Dan tellen de cijfers van de groep: alle verbonden ondernemingen samen, inclusief uw eigen, bij deelnemingen tussen 25 en 50 % naar rato. Vraag het bij twijfel aan uw concernboekhouding.

Medewerkers van de groep
Jaaromzet van de groep
Balanstotaal van de groep

Bijzondere activiteiten

8. Exploiteert u een kritieke installatie (KRITIS)?

Kritieke installaties voorzien in de regel ten minste 500.000 mensen, bijvoorbeeld grote energiecentrales, waterbedrijven of ziekenhuizen vanaf een bepaald aantal gevallen. De drempelwaarden staan in de BSI-Kritisverordnung. Exploitanten weten dat meestal, omdat ze bij het BSI geregistreerd zijn.

9. Bijzondere gevallen (optioneel, meerkeuze)

Deze activiteiten vallen ongeacht de omvang onder NIS2: elektronische handtekeningen, zegels of tijdstempels (vertrouwensdiensten), DNS-diensten of een topleveldomein, openbare telecommunicatienetwerken of -diensten. Voor banken, verzekeraars en andere financiële ondernemingen geldt DORA met voorrang.

Producten en machines

10. Producten met digitale elementen

Bedoeld wordt hard- en software die met een apparaat of netwerk kan worden verbonden, bijvoorbeeld besturingen, verbonden apparaten, apps of firmware. Wie een product onder eigen naam verkoopt, geldt als fabrikant, ook als een ander het heeft gebouwd.

11. Machines

Een machine is substantieel gewijzigd als door ombouw nieuwe gevaren ontstaan die de fabrikant niet had voorzien. Wie dat doet, geldt zelf als fabrikant. Dat geldt ook voor machines die u voor uw eigen bedrijf bouwt.

Vrijwillig bewijs

12. Klanteisen (optioneel, meerkeuze)

Kies wat klanten in contracten, verzoeken of leveranciersaudits van u eisen. TISAX wordt vooral geëist door de auto-industrie. Ook als NIS2 of de CRA niet rechtstreeks voor u gelden, geven betrokken klanten hun verplichtingen vaak contractueel door aan leveranciers en dienstverleners.

13. Kunstmatige intelligentie

Al het gebruik van AI-tools zoals ChatGPT of Copilot in het bedrijf brengt verplichtingen met zich mee, bijvoorbeeld voor de AI-geletterdheid van medewerkers. Wie AI-systemen ontwikkelt of onder eigen naam verspreidt, heeft aanzienlijk meer verplichtingen.

Wat betekenen de normenkaders?

NIS2 (omgezet in de BSI-wet) verplicht exploitanten van bepaalde sectoren vanaf een minimale omvang tot risicobeheer, registratie en meldingen. Meer over NIS2

KRITIS (KRITIS-Dachgesetz) betreft exploitanten van kritieke installaties ongeacht de omvang en vereist weerbaarheidsmaatregelen. Meer over het KRITIS-Dachgesetz

Cyber Resilience Act vereist van fabrikanten, importeurs en distributeurs van producten met digitale elementen cyberbeveiliging over de hele levenscyclus, EU-breed. Meer over de CRA

Machineverordening vult de CE-markering van machines aan met cyberbeveiligingseisen voor besturingen, EU-breed. Meer over de Machineverordening

ISO 27001, IEC 62443 en TISAX zijn geen wettelijke verplichtingen, maar vaak door klanten of contracten geëist bewijs. Meer over ISO 27001 · Meer over IEC 62443

Vrijblijvende eerste inschatting, geen juridisch advies. Het resultaat berust uitsluitend op uw gegevens en gestandaardiseerde regels; het vervangt noch uw eigen toetsing noch de zelfidentificatie tegenover de autoriteiten. Regelbestand 2026.10.3, Per 2026-10-10.
Gegevensbescherming: de AVG is van toepassing op vrijwel elk bedrijf dat persoonsgegevens verwerkt. Zij maakt geen deel uit van deze check. Met de module AVG implementeert u gegevensbescherming aantoonbaar in Complass. Meer over de AVG

Veelgestelde vragen over de toepasselijkheidscheck

Is het resultaat juridisch bindend?

Nee. Het is een vrijblijvende eerste inschatting op basis van uw gegevens en gestandaardiseerde regels, geen juridisch advies.

Worden mijn gegevens opgeslagen?

Nee. De beoordeling gebeurt alleen in het werkgeheugen en wordt nergens opgeslagen of gelogd, tenzij u het resultaat uitdrukkelijk meestuurt met een demo-aanvraag.

Waar komen de drempelwaarden vandaan?

Uit § 28 BSIG, de BSI-Kritisverordnung, de Cyber Resilience Act en de Machineverordening; bronvermeldingen staan bij elk resultaat.

Wat betekent “toetsing open”?

Met uw gegevens kan de vraag nog niet definitief worden beantwoord; een ontbrekend antwoord leidt nooit automatisch tot “niet betrokken”.

Mijn bedrijf is niet in Duitsland gevestigd. Geldt de check toch?

De Cyber Resilience Act en de Machineverordening gelden als EU-verordeningen rechtstreeks in alle lidstaten (Machineverordening vanaf 20.01.2027). Voor NIS2 zet elke lidstaat de richtlijn nationaal om; deze check beoordeelt alleen de Duitse omzetting (BSIG) en toont daarvoor “toetsing open”.

Hoe zit het met de AVG?

De AVG is van toepassing op vrijwel elk bedrijf dat persoonsgegevens verwerkt. Zij maakt geen deel uit van deze check. Met de module AVG implementeert u gegevensbescherming aantoonbaar in Complass.

Geldt de AI-verordening voor ons?

Wie AI in het bedrijf inzet, moet maatregelen nemen om de AI-geletterdheid van medewerkers te bevorderen (art. 4 AI-verordening, in de versie sinds 27.07.2026). Een bepaald niveau of certificaat is niet voorgeschreven, maar u moet de maatregelen wel kunnen aantonen. Verdere verplichtingen hangen af van het gebruiksdoel en gelden gefaseerd; controleer de actuele stand.

Kan ik het resultaat opslaan of afdrukken?

Ja, via de printfunctie van uw browser; er is geen pdf-export aan serverzijde.

Wat doe ik met het resultaat?

U vindt per normenkader eerste stappen en aan het einde een passend pakketvoorstel; een demo toont u Complass aan de hand van uw eigen voorbeeld.

Test Complass met uw eigen gegevens

Maak uw proefaccount zelf aan, desgewenst met een voorbeeldproject per kader. Wilt u Complass liever eerst zien, vraag dan een demo aan.

Gratis uitproberen Demo aanvragen