Complass – Navigate compliance Complass – Navigate compliance
Język PL
Deutsch English Français Italiano Español Nederlands Polski Português
Wypróbuj za darmo

NIS2, CRA i inne: czy Państwa firma jest objęta?

Pierwsza ocena w zakresie NIS2 (§ 28 BSIG), KRITIS, Cyber Resilience Act i rozporządzenia w sprawie maszyn oraz ISO 27001, IEC 62443 i TISAX jako dobrowolnych dowodów. Dla wszystkich branż, ze szczególną głębią dla przemysłu i OT. Bez rejestracji, w kilka minut.

Firma

Wszystkie pytania są dobrowolne; pytania bez odpowiedzi traktujemy jako „Nie wiem”. Przyjęte założenie: działalność odpłatna.

1. Gdzie ma siedzibę Państwa firma?

NIS2 wdraża prawo UE na poziomie krajowym; ten test ocenia niemieckie wdrożenie (BSIG). Cyber Resilience Act i rozporządzenie maszynowe obowiązują bezpośrednio w całej UE.

2. Branża

Tylko do klasyfikacji i niewiążących wskazówek poniżej; dla skutków prawnych liczy się pytanie 3.

Działalność

3. Dokładny rodzaj działalności według NIS2 (załącznik 1/2 BSIG)

Proszę wybrać działalność, która pasuje najlepiej. Grupy odpowiadają sektorom załączników 1 i 2 BSIG.

Decydujące jest to, co Państwa firma faktycznie robi, nie branża. Działalność stanowiąca tylko pomijalną część Państwa biznesu jest pomijana (§ 28 ust. 3 BSIG). Jeśli żadna nie pasuje, proszę wybrać „Żadna z nich”.

Wielkość

Chodzi o Państwa firmę jako jednostkę prawną, na przykład spółkę GmbH, ze wszystkimi lokalizacjami łącznie, a nie o pojedynczą lokalizację. Czy liczby grupy kapitałowej się wliczają, pytamy w następnym kroku. Decydujące jest ostatnie sprawozdanie roczne.

4. Pracownicy

Pracownicy pełnoetatowi liczą się jako 1, zatrudnieni na niepełny etat i sezonowo proporcjonalnie. Nie wlicza się praktykantów ani pracowników na urlopie macierzyńskim lub wychowawczym. Przykład: 40 pracowników pełnoetatowych i 20 na pół etatu daje 50.

5. Roczny obrót

Obrót bez podatku VAT według rachunku zysków i strat.

6. Suma bilansowa

Suma aktywów Państwa bilansu. Znajdą ją Państwo w sprawozdaniu rocznym lub otrzymają od biura rachunkowego.

Od 50 pracowników Państwa firma jest średnim przedsiębiorstwem. Dotyczy to także sytuacji, gdy obrót i suma bilansowa przekraczają oba 10 mln €. Jeśli nie są Państwo pewni, proszę wybrać „Nie wiem”, wynik pokaże wtedy, co należy sprawdzić.

Grupa kapitałowa

7. Grupa kapitałowa

Grupa kapitałowa istnieje, gdy inne przedsiębiorstwo posiada co najmniej 25 % udziałów w Państwa firmie, na przykład spółka dominująca, albo Państwa firma posiada co najmniej 25 % udziałów w innej. Jeśli Państwa IT jest niezależne od grupy, liczą się tylko Państwa własne liczby (§ 28 ust. 4 BSIG).

Jak liczą się udziały i wspólne IT
  • Ponad 50 % lub dominujący wpływ (przedsiębiorstwo powiązane): liczby wliczają się w całości. Dotyczy to spółki dominującej, Państwa spółek zależnych i spółek siostrzanych pod tą samą spółką dominującą.
  • 25 do 50 % (przedsiębiorstwo partnerskie): liczby wliczają się proporcjonalnie, w wysokości udziału.
  • Poniżej 25 %: nie liczy się, uchodzą Państwo za samodzielnych. Udziały inwestorów venture capital, aniołów biznesu lub uczelni do 50 % w określonych okolicznościach również się nie liczą.
  • IT niezależne oznacza prawnie, ekonomicznie i faktycznie oddzielone: własne systemy i sieci, własna eksploatacja IT lub własny dostawca, własne decyzje dotyczące bezpieczeństwa.
  • Wspólne IT to na przykład centrum danych koncernu, wspólna sieć lub wspólne logowanie (Active Directory) albo centralny dział IT spółki dominującej.

Przykład: spółka dominująca posiada 100 % udziałów w Państwa spółce GmbH, ale Państwa IT działa całkowicie oddzielnie. Wtedy liczą się tylko Państwa własne liczby. Niezależność powinni Państwo umieć udokumentować. W razie wątpliwości proszę wybrać „IT wspólne”.

Wypełnić tylko wtedy, gdy wybrali Państwo „Część grupy, IT wspólne”. Wtedy liczą się liczby grupy: wszystkie przedsiębiorstwa powiązane łącznie, wraz z Państwa własnym, a przy udziałach od 25 do 50 % proporcjonalnie. W razie wątpliwości proszę zapytać księgowość koncernu.

Pracownicy grupy
Roczny obrót grupy
Suma bilansowa grupy

Szczególne rodzaje działalności

8. Czy prowadzą Państwo obiekt krytyczny (KRITIS)?

Obiekty krytyczne zaopatrują z reguły co najmniej 500 000 osób, na przykład duże elektrownie, wodociągi lub szpitale od określonej liczby przypadków. Wartości progowe zawiera rozporządzenie BSI-Kritisverordnung. Operatorzy zazwyczaj o tym wiedzą, ponieważ są zarejestrowani w BSI.

9. Przypadki szczególne (opcjonalnie, wielokrotny wybór)

Te rodzaje działalności podlegają NIS2 niezależnie od wielkości: podpisy elektroniczne, pieczęcie lub znaczniki czasu (usługi zaufania), usługi DNS lub domena najwyższego poziomu, publiczne sieci lub usługi telekomunikacyjne. Dla banków, ubezpieczycieli i innych przedsiębiorstw finansowych obowiązuje w pierwszej kolejności DORA.

Produkty i maszyny

10. Produkty z elementami cyfrowymi

Chodzi o sprzęt i oprogramowanie, które można połączyć z urządzeniem lub siecią, na przykład sterowniki, urządzenia sieciowe, aplikacje lub firmware. Kto sprzedaje produkt pod własną nazwą, jest uważany za producenta, nawet jeśli zbudował go ktoś inny.

11. Maszyny

Maszyna jest istotnie zmodyfikowana, gdy w wyniku przebudowy powstają nowe zagrożenia, których producent nie przewidział. Kto to robi, sam jest uważany za producenta. Dotyczy to także maszyn, które budują Państwo na własne potrzeby.

Dobrowolne dowody

12. Wymagania klientów (opcjonalnie, wielokrotny wybór)

Proszę wybrać, czego klienci wymagają od Państwa w umowach, zapytaniach lub audytach dostawców. TISAX wymaga przede wszystkim przemysł motoryzacyjny. Nawet jeśli NIS2 lub CRA nie dotyczą Państwa bezpośrednio, dotknięci nimi klienci często przenoszą swoje obowiązki umownie na dostawców i usługodawców.

13. Sztuczna inteligencja

Już samo korzystanie z narzędzi AI, takich jak ChatGPT lub Copilot, w firmie niesie ze sobą obowiązki, na przykład dotyczące kompetencji pracowników w zakresie AI. Kto rozwija systemy AI lub dystrybuuje je pod własną nazwą, ma znacznie więcej obowiązków.

Co oznaczają regulacje?

NIS2 (wdrożona w ustawie BSI) zobowiązuje operatorów określonych sektorów od minimalnej wielkości do zarządzania ryzykiem, rejestracji i zgłoszeń. Więcej o NIS2

KRITIS (KRITIS-Dachgesetz) dotyczy operatorów obiektów krytycznych niezależnie od wielkości i wymaga środków odporności. Więcej o ustawie KRITIS-Dachgesetz

Cyber Resilience Act wymaga od producentów, importerów i dystrybutorów produktów z elementami cyfrowymi cyberbezpieczeństwa w całym cyklu życia, w całej UE. Więcej o CRA

Rozporządzenie w sprawie maszyn uzupełnia oznakowanie CE maszyn o wymagania cyberbezpieczeństwa dla sterowników, w całej UE. Więcej o rozporządzeniu maszynowym

ISO 27001, IEC 62443 i TISAX nie są obowiązkami ustawowymi, ale często dowodami wymaganymi przez klientów lub umowy. Więcej o ISO 27001 · Więcej o IEC 62443

Niewiążąca wstępna ocena, nie jest to doradztwo prawne. Wynik opiera się wyłącznie na Państwa danych i standardowych regułach; nie zastępuje ani własnej weryfikacji, ani samoidentyfikacji wobec organów. Plik reguł 2026.10.3, Stan na 2026-10-10.
Ochrona danych: RODO dotyczy niemal każdego przedsiębiorstwa przetwarzającego dane osobowe. Nie jest częścią tego testu. Dzięki modułowi RODO wykazalnie wdrażają Państwo ochronę danych w Complass. Więcej o RODO

Najczęstsze pytania o test zakresu stosowania

Czy wynik jest prawnie wiążący?

Nie. Jest to niewiążąca wstępna ocena na podstawie Państwa danych i standardowych reguł, nie doradztwo prawne.

Czy moje dane są zapisywane?

Nie. Ocena odbywa się wyłącznie w pamięci roboczej i nigdzie nie jest zapisywana ani protokołowana, chyba że wyraźnie przesyłają Państwo wynik wraz z zapytaniem o demo.

Skąd pochodzą wartości progowe?

Z § 28 BSIG, rozporządzenia BSI-Kritisverordnung, Cyber Resilience Act i rozporządzenia maszynowego; źródła podano przy każdym wyniku.

Co oznacza „do sprawdzenia”?

Na podstawie Państwa danych nie można jeszcze ostatecznie odpowiedzieć na to pytanie; brakująca informacja nigdy nie prowadzi automatycznie do „nie dotyczy”.

Moja firma nie ma siedziby w Niemczech. Czy test mimo to obowiązuje?

Cyber Resilience Act i rozporządzenie maszynowe jako rozporządzenia UE obowiązują bezpośrednio we wszystkich państwach członkowskich (rozporządzenie maszynowe od 20.01.2027). Dla NIS2 każde państwo członkowskie wdraża dyrektywę na poziomie krajowym; ten test ocenia tylko niemieckie wdrożenie (BSIG) i pokazuje w tym zakresie „do sprawdzenia”.

A co z RODO?

RODO dotyczy niemal każdego przedsiębiorstwa przetwarzającego dane osobowe. Nie jest częścią tego testu. Dzięki modułowi RODO wykazalnie wdrażają Państwo ochronę danych w Complass.

Czy rozporządzenie o AI nas dotyczy?

Kto stosuje AI w firmie, musi podjąć środki wspierające kompetencje pracowników w zakresie AI (art. 4 rozporządzenia o AI, w wersji obowiązującej od 27.07.2026). Określony poziom ani certyfikat nie jest wymagany, środki należy jednak umieć udokumentować. Dalsze obowiązki zależą od celu zastosowania i obowiązują etapami; proszę sprawdzić aktualny stan.

Czy mogę zapisać lub wydrukować wynik?

Tak, za pomocą funkcji drukowania przeglądarki; nie ma eksportu PDF po stronie serwera.

Co zrobić z wynikiem?

Dla każdej regulacji znajdą Państwo pierwsze kroki, a na końcu pasującą propozycję pakietu; demo pokaże Państwu Complass na Państwa przykładzie.

Przetestuj Complass na własnych danych

Mogą Państwo samodzielnie założyć konto testowe, na życzenie z przykładowym projektem dla każdej regulacji. Jeśli wolą Państwo najpierw zobaczyć Complass, proszę umówić demo.

Wypróbuj za darmo Umów demo