Często zadawane pytania

Nie. Complass objaśnia każdy krok prostym językiem, z szablonami, przykładowymi tekstami i odnośnikami do źródła. Państwa zespół wdraża samodzielnie. Jeśli potrzebne jest wsparcie, można dokupić konsulting towarzyszący.

Tak. Państwa administrator łączy Teams i Jirę w kilku krokach. Powiadomienia i zatwierdzenia przechodzą wtedy przez Teams, a działania stają się zgłoszeniami w Jirze. To, co uznaje się za wykonane, nadal potwierdza w Complass osoba odpowiedzialna, aby dowód był wiarygodny.

Interfejs jest dostępny w języku niemieckim i angielskim. Francuski, hiszpański, włoski, niderlandzki, polski i portugalski są dostępne jako Beta; teksty w tych językach nie zostały jeszcze sprawdzone merytorycznie.

Nie bezpośrednio, jeśli sami nie podlegają Państwo pod § 28 BSIG. Państwa klienci muszą jednak uwzględniać bezpieczeństwo łańcucha dostaw i często proszą o dowody. Mogą je Państwo przedstawić w uporządkowany sposób za pomocą Complass, np. poprzez ISO 27001.

BSIG nie wymaga certyfikacji. ISO/IEC 27001 jest jednak sprawdzonymi ramami; w Complass łączą Państwo oba katalogi, tak aby dowody liczyły się dla obu.

Nie. Certyfikację przeprowadza akredytowana jednostka certyfikująca. Complass przygotowuje Państwa za pomocą dokumentów, deklaracji stosowania i dowodów.

Nie, normy są chronione prawem autorskim. Complass objaśnia wymagania i odsyła do klauzuli; własne fragmenty z licencjonowanego egzemplarza można zapisywać.

Moduł jest skierowany do właścicieli zasobów i integratorów. Producenci wdrażają obecnie wymagania dotyczące produktów za pomocą modułu CRA, który jest powiązany z IEC 62443.

Nie, normy IEC są chronione prawem autorskim. Complass objaśnia wymagania i odsyła do źródła; własne fragmenty można zapisywać.

Często oba. Complass pokazuje pokrywanie się wymagań i łączy katalogi, tak aby dowody przedstawiać tylko raz.

Nie. Complass wylicza terminy i przygotowuje treść; zgłoszenie przekazują Państwo za pośrednictwem platformy zgłoszeniowej.

Możliwe, jeśli modyfikacja jest istotna. Moduł zawiera do tego osobną ocenę z szablonem.

Jedna z faz w module dotyczy wzajemnego oddziaływania rozporządzenia w sprawie maszyn, CRA i IEC 62443; katalogi można powiązać.

W przypadku komponentów bezpieczeństwa AI, które są systemami AI wysokiego ryzyka, od 27 lipca 2026 r. stosuje się już tylko niewiele artykułów aktu w sprawie AI; ich wymagania obowiązują od 2 sierpnia 2028 r. za pośrednictwem załącznika III rozporządzenia w sprawie maszyn. Funkcje AI niezwiązane z bezpieczeństwem, np. prognozę zużycia, nadal należy oceniać według ogólnych zasad aktu w sprawie AI. Moduł prowadzi Państwa przez klasyfikację.

Oba moduły należą do regulacji IEC 62443 i korzystają z tego samego modelu stref. Analizę luk względem poszczególnych wymagań systemowych z 3-3 prowadzą Państwo w module dla operatorów, najlepiej wspólnie z klientem.

Nie, normy IEC są chronione prawem autorskim. Complass wyjaśnia wymagania własnymi słowami i odsyła do numeru wymagania; własne wyciągi mogą Państwo zapisać.

Nie. Normy zharmonizowane do CRA są w przygotowaniu; dopóki ich odniesienia nie zostaną opublikowane w Dzienniku Urzędowym, IEC 62443 nie daje domniemania zgodności. Mogą Państwo jednak opisać 4-1 i 4-2 jako wybrane rozwiązanie techniczne w dokumentacji technicznej; moduł zawiera w tym celu szablon porównania.

Nie, normy IEC są chronione prawem autorskim. Complass wyjaśnia wymagania własnymi słowami i odsyła do numerów; własne wyciągi z Państwa licencjonowanego wydania mogą Państwo zapisać.

Niekoniecznie. Wielu producentów zaczyna od samodeklaracji dla SL-C i dokumentuje proces własnymi dowodami. Certyfikat procesu lub produktu wydany przez niezależną jednostkę wzmacnia zaufanie klientów; moduł pomaga zebrać do tego dowody.

Nie. Complass porządkuje wdrożenie i dowód; doradztwo i nadzór pozostają zadaniem inspektora ochrony danych, o ile został wyznaczony. Treści nie zastępują doradztwa prawnego.

Nie. Complass pomaga w ocenie, treści i dokumentacji zgłoszenia; zgłoszenie przekazują Państwo drogą zgłoszeniową Państwa organu nadzorczego.

Tak. Treści opierają się na rozporządzeniu, które obowiązuje we wszystkich państwach członkowskich. Niemieckie szczególne regulacje z BDSG są oznaczone jako wskazówki krajowe; przepisy krajowe innych państw członkowskich sprawdzają Państwo samodzielnie.

Tak, jako użytkowników: muszą Państwo podjąć środki dotyczące kompetencji użytkowników w zakresie AI i wykluczyć zakazane praktyki. Dalsze obowiązki powstają dopiero przy zastosowaniach wysokiego ryzyka lub przypadkach przejrzystości.

AI do kontroli jakości lub optymalizacji wydajności nie jest komponentem bezpieczeństwa. Dla komponentów bezpieczeństwa maszyn opartych na AI z rozporządzenia o AI obowiązuje tylko kilka artykułów; wymagania wynikają z rozporządzenia maszynowego. Complass łączy w tym celu projekty rozporządzenia o AI, rozporządzenia maszynowego i CRA.

Tylko w określonych przypadkach. Art. 27 ust. 1 nakłada ten obowiązek na podmioty stosujące będące podmiotami prawa publicznego lub podmioty prywatne świadczące usługi publiczne, a także na podmioty stosujące systemy AI wysokiego ryzyka, o których mowa w załączniku III pkt 5 lit. b) i c) (zdolność kredytowa, ocena ryzyka i ustalanie cen w ubezpieczeniach na życie i zdrowotnych), przed pierwszym użyciem. Obowiązek nie dotyczy systemów AI wysokiego ryzyka w obszarze infrastruktury krytycznej (załącznik III pkt 2). Complass na podstawie Państwa klasyfikacji wskazuje, czy ocena może być wymagana; decyzję podejmują Państwo.

Nie. Complass porządkuje klasyfikację, obowiązki i dowody na podstawie tekstu ustawy; ocena prawna w indywidualnym przypadku pozostaje po Państwa stronie.

Częściowo. Obowiązek projektowania produktów pod kątem dostępu do danych dotyczy tylko połączonych produktów i powiązanych usług wprowadzonych do obrotu po 12 września 2026 r.; decydujące jest pojedyncze urządzenie, nie seria. Prawa użytkowników do dostępu do danych łatwo dostępnych i do udostępniania stronom trzecim nie mają natomiast własnego terminu granicznego i obowiązują od 12 września 2025 r. Według FAQ Komisji Europejskiej obejmują także maszyny już eksploatowane.

Obowiązki dotyczące dostępu do danych według rozdziału II nie dotyczą mikro- i małych przedsiębiorstw, o ile nie mają większych przedsiębiorstw partnerskich ani powiązanych i nie zostały zlecone jako podwykonawcy do produkcji lub projektowania połączonego produktu. Przepisy o nieuczciwych klauzulach umownych i zmianie dostawcy chmury mimo to obowiązują. Complass prowadzi Państwa przez to sprawdzenie.

Jako użytkownik mogą Państwo żądać od posiadacza danych łatwo dostępnych danych swoich maszyn, nieodpłatnie i w formacie nadającym się do odczytu maszynowego, oraz udostępnienia ich wybranej stronie trzeciej, na przykład partnerowi serwisowemu. Complass pomaga przy żądaniu danych, przeglądzie umów i określaniu wymagań dla zakupu nowych maszyn.

Nie. Complass porządkuje role, obowiązki i dowody na podstawie tekstu ustawy i dostarcza szablony z przykładowymi sformułowaniami; umowy i teksty dla klientów należy przed użyciem poddać ocenie prawnej.

Nie. Jest to prawo niemieckie i obowiązuje dla obiektów krytycznych w Niemczech. Pozostałe państwa członkowskie UE wdrażają dyrektywę CER własnymi ustawami; dla obiektów tam położonych obowiązuje odpowiednie prawo krajowe.

Rozporządzenie z wartościami progowymi nie zostało jeszcze ogłoszone. Proszę już teraz zarejestrować swoje usługi, obiekty i wartości dotyczące stopnia zaopatrzenia oraz udokumentować ocenę. Jeśli obiekt zostanie uznany za krytyczny, na rejestrację pozostają trzy miesiące; dziesięć miesięcy po rejestracji muszą istnieć plan odporności i system zgłoszeń.

Nie. Ustawa BSI reguluje cyberbezpieczeństwo, a KRITIS-Dachgesetz ochronę fizyczną i utrzymanie zaopatrzenia. Rejestracja odbywa się jednak wspólnie, a istniejące analizy ryzyka, dokumenty i certyfikaty mogą Państwo wykorzystać jako dowód (§ 17). W Complass korzystają Państwo z zarządzania ryzykiem dla ryzyk obu ustaw.

Kary pieniężne grożą tylko za określone naruszenia, w maksymalnych kwotach od 100 000 euro do 1 mln euro: brakujące lub nieprawidłowe dane rejestracyjne, niestosowanie się do wykonalnych nakazów, nieprzekazane wyniki audytów oraz odmowa wstępu lub udzielenia informacji podczas kontroli (§ 24). W przypadku brakujących środków organ może nakazać usunięcie uchybień (§ 16); zarząd odpowiada według prawa spółek (§ 20).

Nie. Complass porządkuje sprawdzenie, czy Państwa dotyczy, obowiązki i dowody na podstawie tekstu ustawy; ocena prawna w indywidualnym przypadku pozostaje po Państwa stronie.

Zasadniczo tak: maszyna z modułem radiowym jest wtedy sama urządzeniem radiowym, a jeśli może komunikować się przez internet, obowiązuje wymaganie ochrony sieci. Moduł RED w Complass pomaga w zakwalifikowaniu.

Tylko jeśli w pełni stosują Państwo normy zharmonizowane dla wszystkich mających zastosowanie wymagań zasadniczych i nie zachodzi żadne z ograniczeń opublikowanych w Dzienniku Urzędowym, na przykład dlatego, że przy stosowaniu punktów 6.2.5.1 i 6.2.5.2 normy EN 18031 użytkownikowi wolno nie ustawiać lub nie używać hasła. W przeciwnym razie należy zaangażować jednostkę notyfikowaną.

Tak. Urządzenia radiowe wprowadzone do obrotu do tego czasu muszą spełniać wymagania RED, a ocenę ryzyka, koncepcję bezpieczeństwa i raporty z badań można przenieść do Państwa projektu CRA.

Pośrednio tak: Państwa klienci muszą wykazać spełnienie wymagań cybernetycznych MDR i oczekują w tym celu informacji i zobowiązań od Państwa. Jeśli sprzedają Państwo komponent także innym branżom, co do zasady dodatkowo obowiązuje dla niego Cyber Resilience Act. Moduł zawiera osobną fazę dla dostawców.

Nie. Complass porządkuje wymagania cybernetyczne i dowody i daje się włączyć do Państwa istniejącego QMS; ocena zgodności i zatwierdzenia pozostają po Państwa stronie i po stronie Państwa jednostki notyfikowanej.

Moduł opisuje działania własnymi słowami z odesłaniem do punktów normy. Samą treść normy nabywają Państwo w handlu normami; wyciągi z Państwa licencjonowanego wydania mogą Państwo zapisać w projekcie.

Prawo tego nie wymaga, ale urząd zgłoszeniowy powinien rozpatrywać także zgłoszenia anonimowe. Complass domyślnie oferuje ścieżkę anonimową, ponieważ obniża ona barierę zgłoszenia; kto chce, może dobrowolnie podać swoje imię i nazwisko.

Tylko wtedy, gdy sam należy do urzędu zgłoszeniowego. Administratorzy wskazują urząd zgłoszeniowy, ale nie widzą treści. Każdą zmianę składu dotychczasowi członkowie widzą od razu, aby nikt nie mógł niezauważenie czytać zgłoszeń.

W przypadku większości mniejszych firm obowiązek nie obowiązuje, z wyjątkiem instytucji finansowych. Ponieważ kanał zgłoszeń i ramy regulacyjne są zawarte w ochronie podstawowej, mogą Państwo mimo to oferować kanał bez dodatkowych kosztów.

Nie. Complass udostępnia kanał zgłoszeń, procedurę i dowody; ocenę prawną zgłoszonego naruszenia w danym przypadku przeprowadza Państwa urząd zgłoszeniowy.

Tak, pośrednio, jeśli świadczą Państwo usługi ICT dla przedsiębiorstw finansowych. Państwa klienci muszą uzgodnić z Państwem treść umów według art. 30 i wymagają danych do swojego rejestru informacji, wsparcia przy incydentach, audytów i uregulowań dotyczących wyjścia. Bezpośredni nadzór dotyczy tylko krytycznych zewnętrznych dostawców usług ICT według art. 31.

Dla przedsiębiorstw finansowych DORA jest aktem szczególnym; § 28 ust. 6 BSIG wyłącza je spod głównych obowiązków NIS2. Dostawcy usług ICT mogą natomiast sami podlegać NIS2 i dodatkowo musieć spełniać wymagania DORA swoich klientów. Test zakresu stosowania w Complass sprawdza stronę NIS2.

Nie. Complass pomaga dokumentować incydenty ze znacznikami czasu, uzasadniać zakwalifikowanie ich jako poważnych za pomocą pytań kontrolnych, obliczać terminy zgłoszeń i przygotowywać zgłoszenia z wymaganymi danymi. Samo zgłoszenie przekazują Państwo drogą wskazaną przez organ nadzoru; ocena prawna w indywidualnym przypadku pozostaje po Państwa stronie.

W rejestrze „Umowy i licencje” w zarządzaniu zasobami, z okresem obowiązywania, okresem wypowiedzenia, osobami odpowiedzialnymi, powiązanymi zasobami i dowodami; w połączeniu z zarządzaniem dostawcami także przy danym usługodawcy. Rejestr dostarcza informacji do Państwa rejestru informacji zgodnie z art. 28 DORA; Complass nie oferuje eksportu w formacie rozporządzenia wykonawczego (UE) 2024/2956.

Nie. Jednostką certyfikującą dla ISO 27001 na podstawie IT-Grundschutz jest BSI; audyt przeprowadza audytor certyfikowany przez BSI. Complass przygotowuje Państwa do niego za pomocą szablonów, katalogów i dowodów.

Nie. Dla edycji 2023 Complass zawiera oznaczenia, poziomy i własne krótkie opisy; brzmienie można przeczytać w bezpłatnym Kompendium BSI. Wymagania Grundschutz++ BSI publikuje na licencji CC BY-SA 4.0, są zawarte w oryginalnym brzmieniu.

Kto chce uzyskać certyfikat w krótkim terminie, może to zrobić do 30 listopada 2031 r. na podstawie klasycznego IT-Grundschutz. Kto chce certyfikować się dopiero w 2027 r. lub później, najlepiej od razu planuje z Grundschutz++; analiza struktury, potrzeba ochrony i analiza ryzyka pozostają przydatne w obu przypadkach.

Nie. Etykieta wymaga oceny przez dostawcę audytu uprawnionego przez ENX, a o jej przyznaniu decyduje ta ocena. Complass przygotowuje Państwa do niej: samooceną, aktualnym poziomem dojrzałości dla każdego wymagania, wzorami dokumentów, dowodami i planem działań.

Nie. Complass podaje dla każdego wymagania tylko numer w VDA ISA i opisuje je własnymi słowami. Oficjalny katalog pobierają Państwo z ENX i korzystają z niego równolegle; wyciągi z niego można zapisać w projekcie.

Nie. Rejestracja, zlecenie dla dostawcy audytu i udostępnienie wyniku odbywają się przez portal ENX. Complass przygotowuje potrzebne dane za pomocą listy kontrolnej.

Tak. VDA ISA jest merytorycznie ściśle oparty na ISO/IEC 27001 i 27002, więc wiele wymagań mają Państwo już wdrożonych. Wzory polityk w module TISAX mają taką samą strukturę jak w module ISO 27001. Ochrona prototypów i ochrona danych dochodzą w razie potrzeby.

Dla ocen zlecanych od 01.01.2027 obowiązuje VDA ISA 2027, z częściowo nowymi numerami. Państwa odpowiedzi w Complass są powiązane z własnymi, stabilnymi identyfikatorami i zostają zachowane przy przejściu. Numery według VDA ISA 2027 są w przygotowaniu.

Dostawca może wdrożyć technikę, ale odpowiedzialność pozostaje po stronie kierownictwa praktyki. Zasady dla zespołu, szkolenia i dowody leżą po Państwa stronie. W Complass zapisują Państwo, które wymagania potwierdza dostawca, a które praktyka wdraża sama.

Nie, praktyki dentystyczne wdrażają wytyczne KZBV. Obie wersje mają jednakową strukturę i numerację; Complass pokazuje przy każdym wymaganiu brzmienie KBV, a tam, gdzie się różni, także KZBV.

Nie. Wytyczne nie przewidują certyfikatu. Muszą Państwo jednak móc udokumentować wdrożenie, na przykład wobec Zrzeszenia Lekarzy Kasowych lub Dentystów Kasowych, organu ochrony danych lub po incydencie wobec ubezpieczycieli.

§ 391 SGB V obowiązuje wszystkie szpitale i wymaga środków zgodnych ze stanem techniki. B3S jest drogą uznaną przez BSI za odpowiednią i dlatego także dla mniejszych placówek stanowi naturalną miarę.

Nie. B3S jest dziełem DKG. Complass opisuje wymagania własnymi słowami i odsyła do rozdziałów i numerów ANF. Standard otrzymują Państwo bezpłatnie w DKG; wyciągi z niego mogą Państwo zapisać w swoim projekcie.

Nie. Działania, które dokumentują Państwo w projekcie B3S, Complass przypisuje przez wspólny katalog działań także do regulacji NIS2.

Nie. CSF nie podlega certyfikacji. Complass pomaga opisać i udokumentować Państwa stan w postaci profilu; certyfikat ani etykieta z tego nie powstają.

Cztery tiery (Partial, Risk Informed, Repeatable, Adaptive) wskazują, na ile dojrzałe jest Państwa zarządzanie i zarządzanie ryzykiem jako całość. Tier bieżący i docelowy zapisują Państwo w szablonie.

Nie. Przez wspólne działania Complass proponuje przejęcie ocen i dowodów. Każdą propozycję sprawdzają Państwo merytorycznie, zanim ją potwierdzą.

Nie. Uzupełnia je jako sposób przedstawienia stanu wobec klientów i ubezpieczycieli. Obowiązki ustawowe pozostają w mocy.

Nie. Ani SSDF, ani OWASP SAMM nie podlegają certyfikacji. Complass pomaga opisać i udokumentować stan wdrożenia i poziom dojrzałości.

Nie automatycznie. SSDF obejmuje wiele wymagań dotyczących rozwoju i obsługi podatności, a Complass pokazuje powiązanie z załącznikiem I. Ocena zgodności według CRA pozostaje odrębnym zadaniem.

SSDF mówi, co należy zrobić; SAMM pokazuje, na ile jest to utrwalone. Dzięki poziomom od 0 do 3 można mierzyć postępy i wyznaczać cele.

Nie. Przez wspólne działania Complass proponuje przejęcie ocen i dowodów. Każdą propozycję sprawdzają Państwo, zanim ją potwierdzą.

Tak. Jako producent, importer lub dystrybutor mają Państwo swoje obowiązki także wtedy, gdy platforma handlowa ma dodatkowo własne obowiązki. Complass przypisuje Państwu rolę dla każdego produktu.

Nie. Complass przygotowuje dane do zgłoszenia w Safety Business Gateway i dokumentuje sprawę; zgłoszenia dokonują Państwo samodzielnie.

Nie. Complass porządkuje role, obowiązki i dowody na podstawie tekstu rozporządzenia; ocena prawna w indywidualnym przypadku pozostaje po Państwa stronie.

Moduł jest w przygotowaniu. Termin podamy dopiero wtedy, gdy zostanie ustalony. Prosimy o kontakt: pokażemy Państwu aktualny stan i jak można zacząć już dziś w Complass z ISO/IEC 27001 lub NIS2.

Dla eksploatacji sieci i dla instalacji energetycznych podmiotów ważnych lub szczególnie ważnych obowiązują §§ 5c do 5e EnWG; większość obowiązków ustawy BSI w tym zakresie odpada. Kwalifikacja i rejestracja według ustawy BSI pozostają. Dla innych sektorów, takich jak woda czy ścieki, obowiązuje ustawa BSI. Jeśli instalacja energetyczna jest w stosunku do całej działalności tylko działalnością uboczną, również obowiązuje ustawa BSI.

Dla operatorów sieci katalog z sierpnia 2015 r., dla operatorów instalacji katalog z grudnia 2018 r. Oba obowiązują według Federalnej Agencji Sieci nadal, dopóki nie zostanie opublikowany nowy katalog. Stan sprawdzenia: 10.10.2026.

Federalna Agencja Sieci opracowuje kolejną wersję katalogów wspólnie z BSI, tak aby powstał jeden katalog obowiązujący także cyfrowe usługi energetyczne. Projekt konsultacyjny podaje 01.01.2027 jako początek stosowania. Nie zostało to jeszcze ustalone. Państwa praca nad dwunastoma tematami z § 5c ust. 4 EnWG zalicza się w każdym przypadku, ponieważ każdy katalog musi je zawierać.

Jeśli dotychczas podlegali Państwo § 8a BSIG w starym brzmieniu, nadal wdrażają Państwo „B3S Aggregatoren” BDEW. W przeciwnym razie budują Państwo ISMS według ISO/IEC 27001 i kierują się dwunastoma tematami. W Complass oceniają Państwo te tematy i uzupełniają nowy katalog, gdy tylko zostanie ustalony.

Do punktu zgłoszeniowego BSI: wczesne zgłoszenie wstępne w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i zgłoszenie końcowe najpóźniej miesiąc później. Jeśli incydent ma znaczenie dla bezpieczeństwa zaopatrzenia w energię, BSI przekazuje zgłoszenie do Federalnej Agencji Sieci (§ 5d ust. 5 EnWG).

Nie. Complass porządkuje sprawdzenie, czy Państwa dotyczy, obowiązki i dowody na podstawie tekstu ustawy i katalogów; ocena prawna w indywidualnym przypadku pozostaje po Państwa stronie.