Veelgestelde vragen

Nee. Complass legt elke stap in heldere taal uit, met sjablonen, voorbeeldteksten en verwijzingen naar de bron. Uw team implementeert zelfstandig. Wilt u ondersteuning, dan kunt u begeleidende adviesdiensten toevoegen.

Ja. Uw beheerder koppelt Teams en Jira in een paar stappen. Meldingen en goedkeuringen lopen dan via Teams, maatregelen worden Jira-tickets. Wat als afgehandeld geldt, bevestigt nog altijd een verantwoordelijke persoon in Complass, zodat het bewijs klopt.

De interface is beschikbaar in het Duits en Engels. Frans, Spaans, Italiaans, Nederlands, Pools en Portugees zijn beschikbaar als Beta; de teksten in deze talen zijn nog niet inhoudelijk gecontroleerd door vakexperts.

Niet rechtstreeks, als u zelf niet onder § 28 BSIG valt. Uw klanten moeten echter rekening houden met de beveiliging van de toeleveringsketen en vragen vaak om bewijs. Dat kunt u met Complass gestructureerd leveren, bijv. via ISO 27001.

De BSIG eist geen certificering. ISO/IEC 27001 is echter een beproefd kader; in Complass koppelt u beide catalogi zodat bewijs voor beide meetelt.

Nee. Certificering wordt uitgevoerd door een geaccrediteerde certificeringsinstantie. Complass bereidt u voor met documenten, de verklaring van toepasselijkheid en bewijs.

Nee, normen zijn auteursrechtelijk beschermd. Complass legt de eisen uit en verwijst naar de clausule; u kunt eigen uittreksels uit uw gelicentieerde exemplaar opslaan.

De module richt zich op asseigenaren en integrators. Fabrikanten implementeren productvereisten momenteel via de CRA-module, die is gekoppeld aan IEC 62443.

Nee, IEC-normen zijn auteursrechtelijk beschermd. Complass legt de eisen uit en verwijst naar de bron; u kunt eigen uittreksels opslaan.

Vaak beide. Complass toont de overlappingen en koppelt de catalogi zodat u bewijs maar één keer hoeft te leveren.

Nee. Complass berekent de termijnen en bereidt de inhoud voor; u dient de melding in via het meldplatform.

Mogelijk, als de wijziging als substantieel geldt. De module bevat hiervoor een eigen beoordeling met een sjabloon.

Een fase in de module behandelt het samenspel tussen de machineverordening, de CRA en IEC 62443; de catalogi kunnen worden gekoppeld.

Voor AI-veiligheidscomponenten die AI-systemen met een hoog risico zijn, zijn sinds 27 juli 2026 van de AI-verordening nog maar enkele artikelen van toepassing; hun eisen komen vanaf 2 augustus 2028 via bijlage III van de machineverordening. AI-functies zonder veiligheidsrelatie, bijvoorbeeld een slijtageprognose, moeten nog steeds volgens de algemene regels van de AI-verordening worden getoetst. De module leidt u door de indeling.

Beide modules horen bij het normenkader IEC 62443 en gebruiken hetzelfde zonemodel. De gap-analyse tegen de afzonderlijke systeemeisen uit 3-3 voert u uit in de exploitantenmodule, bij voorkeur samen met uw klant.

Nee, IEC-normen zijn auteursrechtelijk beschermd. Complass legt de eisen in eigen woorden uit en verwijst naar het eisnummer; eigen uittreksels kunt u opslaan.

Nee. Geharmoniseerde normen bij de CRA zijn in voorbereiding; zolang de verwijzingen ernaar niet in het Publicatieblad zijn gepubliceerd, vormt IEC 62443 geen vermoeden van conformiteit. U kunt 4-1 en 4-2 wel als gekozen technische oplossing in de technische documentatie beschrijven; de module bevat daarvoor een vergelijkingssjabloon.

Nee, IEC-normen zijn auteursrechtelijk beschermd. Complass legt de eisen in eigen woorden uit en verwijst naar de nummers; eigen uittreksels uit uw gelicentieerde uitgave kunt u opslaan.

Niet per se. Veel fabrikanten beginnen met een zelfverklaring over de SL-C en onderbouwen het proces met eigen bewijs. Een proces- of productcertificaat van een onafhankelijke instantie versterkt het vertrouwen van klanten; de module helpt het bewijs daarvoor te verzamelen.

Nee. Complass structureert de implementatie en het bewijs; advies en toezicht blijven taak van de functionaris voor gegevensbescherming, waar er een is aangewezen. De inhoud vervangt geen juridisch advies.

Nee. Complass helpt bij beoordeling, inhoud en documentatie van de melding; de melding doet u via het meldkanaal van uw toezichthouder.

Ja. De inhoud volgt de verordening, die in alle lidstaten geldt. Duitse bijzonderheden uit de BDSG zijn aangemerkt als nationale aanwijzingen; nationale regels van andere lidstaten toetst u zelf.

Ja, als gebruiksverantwoordelijke: u moet maatregelen nemen voor de AI-geletterdheid van gebruikers en verboden praktijken uitsluiten. Verdere verplichtingen ontstaan pas bij toepassingen met een hoog risico of transparantiegevallen.

AI voor kwaliteitscontrole of prestatieoptimalisatie geldt niet als veiligheidscomponent. Voor AI-veiligheidscomponenten van machines gelden uit de AI-verordening slechts enkele artikelen; de eisen komen via de Machineverordening. Complass koppelt daarvoor AI-verordenings-, Machineverordenings- en CRA-project.

Alleen in bepaalde gevallen. Art. 27, lid 1, verplicht gebruiksverantwoordelijken die publiekrechtelijke instellingen zijn of als particuliere entiteit openbare diensten verlenen, evenals gebruiksverantwoordelijken van AI-systemen met een hoog risico volgens bijlage III, punt 5, b) en c) (kredietwaardigheid, risicobeoordeling en prijsstelling bij levens- en zorgverzekeringen), en wel vóór het eerste gebruik. Voor AI-systemen met een hoog risico op het gebied van kritieke infrastructuur (bijlage III, punt 2) geldt de verplichting niet. Complass geeft op basis van uw indeling een aanwijzing; de beslissing neemt u zelf.

Nee. Complass structureert indeling, verplichtingen en bewijs aan de hand van de wettekst; de juridische beoordeling in het individuele geval blijft bij u.

Gedeeltelijk. De verplichting om producten voor datatoegang te ontwerpen geldt alleen voor verbonden producten en gerelateerde diensten die na 12 september 2026 in de handel worden gebracht; bepalend is het afzonderlijke apparaat, niet de productreeks. De rechten van gebruikers op toegang tot direct beschikbare gegevens en op doorgifte aan derden hebben daarentegen geen eigen peildatum en gelden sinds 12 september 2025. Volgens de FAQ van de Europese Commissie omvatten zij ook machines die al in het veld zijn.

De verplichtingen voor datatoegang volgens hoofdstuk II gelden niet voor micro- en kleine ondernemingen, voor zover zij geen grotere partner- of verbonden ondernemingen hebben en niet als onderaannemer voor de vervaardiging of het ontwerp van een verbonden product zijn ingeschakeld. De regels over oneerlijke contractbedingen en over de cloudwissel gelden toch. Complass leidt u door deze toets.

Als gebruiker kunt u van de gegevenshouder de direct beschikbare gegevens van uw machines eisen, kosteloos en in machineleesbaar formaat, en de doorgifte aan een derde naar keuze, bijvoorbeeld een servicepartner. Complass helpt bij het opvragen van de gegevens, bij de toetsing van contracten en bij het vastleggen van eisen voor de inkoop van nieuwe machines.

Nee. Complass structureert rollen, verplichtingen en bewijs aan de hand van de wettekst en levert sjablonen met voorbeeldformuleringen; contracten en klantteksten laat u vóór gebruik juridisch toetsen.

Nee. Het is Duits recht en geldt voor kritieke installaties in Duitsland. De andere EU-lidstaten zetten de CER-richtlijn om met eigen wetten; voor installaties daar geldt het betreffende nationale recht.

De verordening met de drempelwaarden is nog niet afgekondigd. Registreer nu al uw diensten, installaties en waarden voor de voorzieningsgraad en documenteer de inschatting. Geldt een installatie als kritiek, dan resteren drie maanden voor de registratie; tien maanden na de registratie moeten weerbaarheidsplan en meldproces er staan.

Nee. De BSI-wet regelt de cyberbeveiliging, het KRITIS-Dachgesetz de fysieke bescherming en de continuïteit van de voorziening. De registratie verloopt echter gezamenlijk, en bestaande risicoanalyses, documenten en certificaten kunt u als bewijs gebruiken (§ 17). In Complass gebruikt u het risicobeheer voor de risico's van beide wetten.

Boetes zijn er alleen voor bepaalde overtredingen, met maximumbedragen tussen 100.000 euro en 1 miljoen euro: ontbrekende of onjuiste registratiegegevens, overtreding van uitvoerbare bevelen, niet doorgegeven auditresultaten en geweigerde toegang of geweigerde informatie bij een controle (§ 24). Bij ontbrekende maatregelen kan de autoriteit de opheffing van de gebreken gelasten (§ 16); de directie is aansprakelijk volgens het vennootschapsrecht (§ 20).

Nee. Complass structureert toepasselijkheidstoets, verplichtingen en bewijs aan de hand van de wettekst; de juridische beoordeling in het individuele geval blijft bij u.

In de regel wel: de machine met radiomodule is dan zelf radioapparatuur en kan zij via internet communiceren, dan geldt de eis voor bescherming van het netwerk. De Complass-module RED helpt u bij de indeling.

Alleen als u geharmoniseerde normen volledig toepast voor alle toepasselijke essentiële eisen en geen van de in het Publicatieblad gepubliceerde beperkingen van toepassing is, bijvoorbeeld omdat de gebruiker bij toepassing van de punten 6.2.5.1 en 6.2.5.2 van EN 18031 geen wachtwoord hoeft in te stellen of te gebruiken. Anders moet een aangemelde instantie worden betrokken.

Ja. Tot dan in de handel gebrachte radioapparatuur moet aan de RED-eisen voldoen, en risicobeoordeling, beveiligingsconcept en testrapporten kunt u overnemen in uw CRA-project.

Indirect wel: uw klanten moeten de cybereisen van de MDR aantonen en verwachten daarvoor gegevens en toezeggingen van u. Verkoopt u de component ook aan andere sectoren, dan geldt daarvoor in de regel aanvullend de Cyber Resilience Act. De module bevat een eigen fase voor leveranciers.

Nee. Complass structureert de cybereisen en het bewijs en laat zich integreren in uw bestaande QMS; conformiteitsbeoordeling en goedkeuringen blijven bij u en uw aangemelde instantie.

De module beschrijft de activiteiten in eigen woorden met verwijzing naar de paragrafen. De normtekst zelf betrekt u via de normenhandel; uittreksels uit uw gelicentieerde uitgave kunt u in het project opslaan.

De wet verplicht daar niet toe, maar het meldpunt hoort anonieme meldingen wel te behandelen. Complass biedt de anonieme route standaard aan, omdat die de drempel verlaagt; wie dat wil, kan vrijwillig zijn naam opgeven.

Alleen als ze zelf tot het meldpunt behoort. Beheerders wijzen het meldpunt aan, maar zien geen inhoud. Elke wijziging in de samenstelling zien de bestaande leden direct, zodat niemand ongemerkt meeleest.

Voor de meeste kleinere bedrijven geldt de verplichting niet, financiële ondernemingen uitgezonderd. Omdat meldkanaal en normenkader in de basisbescherming zijn inbegrepen, kunt u het kanaal toch zonder extra kosten aanbieden.

Nee. Complass levert meldkanaal, procedure en bewijsstukken; hoe een gemelde inbreuk juridisch moet worden beoordeeld, bepaalt uw meldpunt per geval.

Ja, indirect, als u ICT-diensten verleent aan financiële ondernemingen. Uw klanten moeten de contractinhoud volgens art. 30 met u overeenkomen en vragen gegevens voor hun informatieregister, ondersteuning bij incidenten, audits en exitregelingen. Direct toezicht geldt alleen voor kritieke ICT-derdedienstverleners volgens art. 31.

Voor financiële ondernemingen is DORA de specifiekere rechtshandeling; § 28 lid 6 BSIG neemt hen uit van centrale NIS2-verplichtingen. ICT-dienstverleners kunnen daarentegen zelf onder NIS2 vallen en moeten daarnaast voldoen aan de DORA-eisen van hun klanten. De toepasselijkheidscheck in Complass toetst de NIS2-kant.

Nee. Complass helpt u incidenten met tijdstempels te documenteren, de indeling als ernstig met toetsvragen te motiveren, de meldtermijnen te berekenen en de meldingen met hun verplichte gegevens voor te bereiden. De melding zelf dient u in via de door de toezichthouder voorgeschreven weg; de juridische beoordeling van het afzonderlijke geval blijft bij u.

In het register “Contracten en licenties” van het assetmanagement, met looptijd, opzegtermijn, verantwoordelijken, gekoppelde assets en bewijs; met leveranciersbeheer ook bij de betreffende dienstverlener. Het levert gegevens voor uw informatieregister conform art. 28 DORA; Complass biedt geen export in het formaat van de uitvoeringsverordening (EU) 2024/2956.

Nee. Certificeringsinstantie voor ISO 27001 op basis van IT-Grundschutz is het BSI; de audit wordt uitgevoerd door een door het BSI gecertificeerde auditor. Complass bereidt u daarop voor met sjablonen, catalogi en bewijs.

Nee. Voor editie 2023 bevat Complass kenmerken, niveaus en eigen korte beschrijvingen; de bewoordingen leest u na in het gratis Kompendium van het BSI. De eisen van Grundschutz++ publiceert het BSI onder de licentie CC BY-SA 4.0; ze zijn in de oorspronkelijke bewoordingen opgenomen.

Wie op korte termijn wil certificeren, kan dat tot 30 november 2031 doen op basis van de klassieke IT-Grundschutz. Wie pas in 2027 of later wil certificeren, plant het best meteen met Grundschutz++; structuuranalyse, beschermingsbehoefte en risicoanalyse blijven in beide gevallen bruikbaar.

Nee. Het label vereist een assessment door een door ENX erkende auditaanbieder, en dat assessment beslist of u het krijgt. Complass bereidt u daarop voor: met zelfbeoordeling, actueel volwassenheidsniveau per eis, sjablonen, bewijzen en maatregelenplan.

Nee. Complass noemt per eis alleen het nummer in de VDA ISA en beschrijft de eis in eigen woorden. De officiële catalogus downloadt u bij ENX en gebruikt u er parallel naast; uittreksels daaruit kunt u in het project opslaan.

Nee. Registratie, opdracht aan de auditaanbieder en het delen van het resultaat verlopen via het portaal van ENX. Complass bereidt de gegevens daarvoor voor met een checklist.

Ja. De VDA ISA sluit inhoudelijk nauw aan bij ISO/IEC 27001 en 27002, dus veel eisen hebt u dan al geïmplementeerd. De beleidssjablonen in de TISAX-module zijn opgebouwd zoals in de ISO 27001-module. Prototypebescherming en gegevensbescherming komen er zo nodig bij.

Voor assessments die vanaf 01-01-2027 worden besteld, geldt VDA ISA 2027, met deels nieuwe nummers. Uw antwoorden in Complass hangen aan eigen, stabiele identificatoren en blijven bij de overgang behouden. De nummers volgens VDA ISA 2027 zijn in voorbereiding.

De dienstverlener kan de techniek implementeren, maar de verantwoordelijkheid blijft bij de praktijkleiding. Regels voor het team, training en bewijs liggen bij u. In Complass legt u vast welke eisen de dienstverlener bevestigt en welke de praktijk zelf implementeert.

Nee, tandartspraktijken implementeren de richtlijn van de KZBV. Beide versies zijn gelijk opgebouwd en genummerd; Complass toont bij elke eis de tekst van de KBV en, waar die afwijkt, die van de KZBV.

Nee. De richtlijn schrijft geen certificaat voor. U moet de implementatie echter kunnen aantonen, bijvoorbeeld tegenover de Kassenärztliche resp. Kassenzahnärztliche Vereinigung, de privacytoezichthouder of na een incident tegenover verzekeraars.

§ 391 SGB V geldt voor alle ziekenhuizen en vereist voorzieningen volgens de stand van de techniek. De B3S is de door het BSI als geschikt vastgestelde weg daarvoor en daarom ook voor kleinere ziekenhuizen de voor de hand liggende maatstaf.

Nee. De B3S is een werk van de DKG. Complass beschrijft de eisen in eigen woorden en verwijst naar hoofdstukken en ANF-nummers. De standaard ontvangt u kosteloos bij de DKG; uittreksels daaruit kunt u in uw project opslaan.

Nee. Maatregelen die u in het B3S-project documenteert, koppelt Complass via de gemeenschappelijke maatregelencatalogus ook aan het NIS2-normenkader.

Nee. Het CSF is niet certificeerbaar. Complass helpt u uw stand als profiel te beschrijven en aan te tonen; er komt geen certificaat of label uit voort.

De vier tiers (Partial, Risk Informed, Repeatable, Adaptive) geven aan hoe gevestigd uw sturing en uw risicobeheer als geheel zijn. U legt de huidige en de beoogde tier vast in een sjabloon.

Nee. Via de gedeelde maatregelen stelt Complass voor beoordelingen en bewijs over te nemen. U toetst elk voorstel inhoudelijk voordat u het bevestigt.

Nee. Het vult ze aan als presentatie richting klanten en verzekeraars. Wettelijke verplichtingen blijven bestaan.

Nee. Noch het SSDF noch OWASP SAMM is certificeerbaar. Complass helpt u uw implementatiestand en volwassenheidsniveau te beschrijven en aan te tonen.

Niet automatisch. Het SSDF dekt veel eisen voor ontwikkeling en omgang met kwetsbaarheden, en Complass toont de koppeling met bijlage I. De conformiteitsbeoordeling volgens de CRA blijft een afzonderlijke taak.

Het SSDF zegt wat er moet gebeuren; SAMM toont hoe gevestigd het is. Met de niveaus 0 tot en met 3 kunt u voortgang meten en doelen stellen.

Nee. Via de gedeelde maatregelen stelt Complass voor beoordelingen en bewijs over te nemen. U controleert elk voorstel voordat u het bevestigt.

Ja. Als fabrikant, importeur of distributeur hebt u uw verplichtingen ook als de marktplaats daarnaast eigen verplichtingen heeft. Complass wijst u de rol per product toe.

Nee. Complass bereidt de gegevens voor de melding in het Safety Business Gateway voor en documenteert het geval; de melding doet u zelf.

Nee. Complass structureert rollen, verplichtingen en bewijs aan de hand van de verordeningstekst; de juridische beoordeling van het afzonderlijke geval blijft bij u.

De module is in voorbereiding. Een datum noemen wij pas wanneer die vaststaat. Neem contact met ons op: wij laten u de stand zien en hoe u vandaag al kunt beginnen met ISO/IEC 27001 of NIS2 in Complass.

Voor het netbeheer en voor energie-installaties van belangrijke of bijzonder belangrijke entiteiten gelden §§ 5c tot en met 5e EnWG; de meeste verplichtingen van de BSI-wet vervallen daarvoor. Indeling en registratie volgens de BSI-wet blijven. Voor andere sectoren zoals water of afvalwater geldt de BSI-wet. Is de energie-installatie ten opzichte van de totale bedrijfsactiviteit slechts een nevenactiviteit, dan geldt eveneens de BSI-wet.

Voor netbeheerders de catalogus van augustus 2015, voor exploitanten van installaties de catalogus van december 2018. Beide gelden volgens de Bundesnetzagentur voort tot een nieuwe catalogus is gepubliceerd. Stand van de controle: 10.10.2026.

De Bundesnetzagentur herziet de catalogi samen met het BSI tot één catalogus die ook voor digitale energiediensten moet gelden. Het consultatieontwerp noemt 01.01.2027 als begindatum. Vastgesteld is dat nog niet. Uw werk aan de twaalf onderwerpen uit § 5c lid 4 EnWG telt in elk geval, omdat elke catalogus ze moet bevatten.

Viel u tot nu toe onder § 8a BSIG oude versie, dan blijft u de “B3S Aggregatoren” van het BDEW implementeren. Anders bouwt u een ISMS volgens ISO/IEC 27001 op en oriënteert u zich op de twaalf onderwerpen. In Complass beoordeelt u deze onderwerpen en voegt u de nieuwe catalogus toe zodra deze is vastgesteld.

Bij het meldpunt van het BSI: een vroege eerste melding binnen 24 uur, een melding binnen 72 uur en een eindrapport uiterlijk een maand daarna. Heeft het incident betekenis voor de zekerheid van de energievoorziening, dan stuurt het BSI de melding door naar de Bundesnetzagentur (§ 5d lid 5 EnWG).

Nee. Complass structureert toepasselijkheidstoets, verplichtingen en bewijs aan de hand van de wettekst en de catalogi; de juridische beoordeling in het individuele geval blijft bij u.