Produkują Państwo we własnych zakładach, budują maszyny lub komponenty i dostarczają je klientom, którzy wymagają dowodów. W ten sposób podlegają Państwo kilku ramom regulacyjnym jednocześnie: NIS2 dla przedsiębiorstwa, CRA i rozporządzenie w sprawie maszyn dla produktów. Complass łączy jedno i drugie w jednym koncie, od hali produkcyjnej po oznakowanie CE.
NIS2 już obowiązuje, obowiązki zgłoszeniowe CRA od 11 września 2026 r., rozporządzenie w sprawie maszyn od 20 stycznia 2027 r. Każde ramy regulacyjne mają własne terminy, dowody i osoby odpowiedzialne.
Instalacje, których nikt nie zna w całości
Sterowniki sprzed kilku dekad, zdalna konserwacja przez producentów i integratorów, oprogramowanie sprzętowe bez wsparcia: w wielu zakładach brakuje pełnego inwentarza OT.
Klienci chcą dowodów
Kwestionariusze bezpieczeństwa od klientów pojawiają się coraz częściej, a odpowiedzi są rozproszone w arkuszach Excel, folderach i głowach.
Co obowiązuje Państwa przedsiębiorstwo
Budowa maszyn figuruje w załączniku 2 niemieckiej ustawy BSIG. Od średniej wielkości są Państwo więc podmiotem ważnym w rozumieniu NIS2, z następującymi obowiązkami:
Producenci maszyn średniej wielkości lub większych, z reguły od 50 pracowników lub przy obrocie i sumie bilansowej powyżej 10 mln euro, podlegają NIS2 jako podmioty ważne § 28 BSIG i załącznik 2§ 28 BSIGBesonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …Stan na: 26.09.2026 · Źródło: gesetze-im-internet.deOtwórz oryginał (gesetze-im-internet.de) ↗
Wdrażać środki zarządzania ryzykiem, wyraźnie także dla instalacji produkcyjnych, zdalnej konserwacji i łańcucha dostaw § 30 BSIG§ 30 BSIGRisikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Stan na: 26.09.2026 · Źródło: gesetze-im-internet.deOtwórz oryginał (gesetze-im-internet.de) ↗
Zgłaszać znaczące incydenty bezpieczeństwa: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe po miesiącu § 32 BSIG§ 32 BSIGMeldepflichten(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: - 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der …Stan na: 26.09.2026 · Źródło: gesetze-im-internet.deOtwórz oryginał (gesetze-im-internet.de) ↗
Kierownictwo zatwierdza środki, nadzoruje ich wdrożenie i regularnie uczestniczy w szkoleniach § 38 BSIG§ 38 BSIGUmsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. (2) Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung …Stan na: 26.09.2026 · Źródło: gesetze-im-internet.deOtwórz oryginał (gesetze-im-internet.de) ↗
W odniesieniu do produktów dodatkowo: obowiązki zgłoszeniowe wg CRA od 11 września 2026 r. oraz cyberbezpieczeństwo układu sterowania wg rozporządzenia w sprawie maszyn od 20 stycznia 2027 r. Art. 14 CRAArtykuł 14 Akt o cyberodpornościObowiązki producentów w zakresie zgłaszania1. Producent jednocześnie zgłasza jakiekolwiek aktywnie wykorzystywane podatności zawarte w produkcie z elementami cyfrowymi, o których się dowiedział, CSIRT-owi wyznaczonemu na koordynatora zgodnie z ust. 7 niniejszego artykułu oraz ENISA. Producent zgłasza aktywnie wykorzystywaną podatność za pośrednictwem pojedynczej platformy sprawozdawczej ustanowionej na podstawie art. 16. 2. Do celów zgłoszenia, o którym mowa …Stan na: 06.10.2026 · Źródło: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Otwórz oryginał (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗załącznik III pkt 1.1.9 rozporządzenia w sprawie maszynZałącznik III Sekcja 1.1.9 Rozporządzenie w sprawie maszynZabezpieczenie przed uszkodzeniemMaszynę lub produkt powiązany należy zaprojektować i wytworzyć tak, aby połączenie z nimi innego urządzenia, za pośrednictwem dowolnej funkcji samego urządzenia połączonego lub za pośrednictwem dowolnego urządzenia zdalnego, które utrzymuje łączność z maszyną lub produktem powiązanym, nie prowadziło do sytuacji zagrożenia. Część składową sprzętu komputerowego, która nadaje sygnał lub przekazuje dane istotne dla …Stan na: 06.10.2026 · Źródło: EUR-Lex – OJ L 165, 29.6.2023; Art. 3, 8, 20, 25a–25e and 47 as consolidated on 27.07.2026Otwórz oryginał (EUR-Lex – OJ L 165, 29.6.2023; Art. 3, 8, 20, 25a–25e and 47 as consolidated on 27.07.2026) ↗
Własne produkty. Strona dla producentów pokazuje, jakie obowiązki wynikają z CRA i rozporządzenia w sprawie maszyn dla każdego produktu, od klasyfikacji po deklarację zgodności. Przejdź do strony dla producentów
Informacja ogólna, nie porada prawna. Ta strona przedstawia sytuację prawną w uproszczeniu i nie zastępuje oceny Państwa indywidualnego przypadku. Rozstrzygające jest brzmienie przepisów i norm.
Typowe firmy
Budowa maszyn specjalnych i instalacji Obszar priorytetowy
Każda instalacja to osobny projekt: model stref i zdalna konserwacja dla każdej instalacji klienta, a do tego własny zakład zgodnie z NIS2.
Maszyny seryjne i komponenty
Rodziny produktów ze wspólnym SBOM i obsługą podatności przez cały okres wsparcia.
Przemysł procesowy
Chemia, żywność i tworzywa sztuczne z systemami sterowania procesami: inwentarz zasobów, strefy i zarządzanie ciągłością działania na wypadek przestoju produkcji.
Dostawcy dla branży motoryzacyjnej
ISO 27001 jako podstawa dowodów dla klientów, do tego przygotowanie do oceny TISAX według VDA ISA.
Tak wspiera Państwa Complass
Inwentarz OT bez agentów
Rejestrować sterowniki, napędy, panele operatorskie i komponenty sieciowe na podstawie zapisów ruchu sieciowego w przeglądarce, z producentem, firmware i końcem wsparcia.
Inwentarz zasobów z końcem wsparcia i podatnościami
Pasujące oferty
Dwa szablony branżowe obejmują typowe zadania w budowie maszyn: jeden dla własnej produkcji, drugi dla własnych produktów. Można je łączyć. Dla dostawców dla branży motoryzacyjnej dochodzi TISAX jako odrębne ramy regulacyjne.
dostępny
Szablon branżowy: Przemysł
IEC 62443 dla operatorów, integratorów i producentów
Rozporządzenie w sprawie maszyn z wymaganiami cyberbezpieczeństwa dla układów sterowania
Zarządzanie zasobami dla IT i OT
MITRE ATT&CK dla Enterprise i ICS
od 526 € miesięcznie plus VAT w pakiecie Start, wielkość S, płatność roczna
Wszystkie ceny dotyczą przedsiębiorstw, a nie konsumentów. Są to ceny netto plus VAT przy płatności rocznej; przy płatności miesięcznej obowiązuje dopłata w wysokości 15 %. Stan na 16/10/2026. Enterprise i grupy przedsiębiorstw na zapytanie.
Często zadawane pytania
Czy jako producent maszyn podlegamy NIS2?+
Jeśli produkują Państwo maszyny i są co najmniej średnim przedsiębiorstwem, z reguły tak, jako podmiot ważny. Decydują główna działalność, liczba pracowników oraz obrót i suma bilansowa. Narzędzie „Czy mnie to dotyczy?” sprawdza to w kilka minut.
Czy potrzebujemy ISO 27001 czy IEC 62443?+
Dla informatyki biurowej i systemu zarządzania zwykłymi ramami jest ISO 27001, dla produkcji i instalacji IEC 62443. Wiele przedsiębiorstw przemysłowych stosuje oba. W Complass łączą Państwo wymagania, aby udokumentować środek tylko raz.
Nasi klienci przysyłają nam coraz więcej kwestionariuszy bezpieczeństwa. Czy Complass w tym pomaga?+
Tak. Państwa środki, dowody i dokumenty znajdują się w jednym miejscu i można je przygotować dla klientów w formacie Excel lub PDF. Dzięki temu odpowiadają Państwo na powtarzające się pytania na podstawie posiadanych danych.
Mogą Państwo samodzielnie założyć konto testowe, na życzenie z przykładowym projektem dla każdej regulacji. Jeśli wolą Państwo najpierw zobaczyć Complass, proszę umówić demo.