Perguntas frequentes

Não. O Complass explica cada passo em linguagem simples, com modelos, textos de exemplo e referências à fonte. A sua equipa implementa de forma autónoma. Se pretender apoio, pode acrescentar consultoria de acompanhamento.

Sim. O seu administrador liga o Teams e o Jira em poucos passos. As notificações e as aprovações passam então pelo Teams e as medidas tornam-se tickets do Jira. Continua a ser uma pessoa responsável a confirmar no Complass o que se considera concluído, para que a evidência esteja correta.

A interface está disponível em alemão e inglês. Francês, espanhol, italiano, neerlandês, polaco e português estão disponíveis como Beta; os textos destes idiomas ainda não foram revistos por especialistas.

Não diretamente, se não se enquadrarem no § 28 BSIG. Os seus clientes, porém, têm de considerar a segurança da cadeia de abastecimento e pedem frequentemente evidências. Com o Complass pode apresentá-las de forma estruturada, p. ex. através da ISO 27001.

A BSIG não exige certificação. A ISO/IEC 27001 é, contudo, um referencial comprovado; no Complass, interliga os dois catálogos para que as evidências contem para ambos.

Não. A certificação é realizada por um organismo de certificação acreditado. O Complass prepara-o com documentos, a declaração de aplicabilidade e evidências.

Não, as normas estão protegidas por direitos de autor. O Complass explica os requisitos e remete para a cláusula; pode guardar os seus próprios excertos da sua cópia licenciada.

O módulo destina-se a proprietários de ativos e integradores. Atualmente, os fabricantes implementam os requisitos de produto através do módulo CRA, que está ligado à IEC 62443.

Não, as normas IEC estão protegidas por direitos de autor. O Complass explica os requisitos e remete para a fonte; pode guardar os seus próprios excertos.

Muitas vezes ambos. O Complass mostra as sobreposições e interliga os catálogos para que apresente evidências uma só vez.

Não. O Complass calcula os prazos e prepara o conteúdo; a notificação é submetida através da plataforma de notificações.

Possivelmente, se a modificação for considerada substancial. O módulo contém uma avaliação específica com um modelo para o efeito.

Uma fase do módulo trata da interação entre o Regulamento Máquinas, o CRA e a IEC 62443; os catálogos podem ser interligados.

Para os componentes de segurança de IA que são sistemas de IA de risco elevado, desde 27 de julho de 2026 aplicam-se apenas alguns artigos do Regulamento IA; os seus requisitos chegam a partir de 2 de agosto de 2028 através do anexo III do Regulamento Máquinas. As funções de IA sem relação com a segurança, por exemplo uma previsão de desgaste, continuam a ter de ser avaliadas segundo as regras gerais do Regulamento IA. O módulo acompanha-o na classificação.

Ambos os módulos pertencem ao referencial IEC 62443 e utilizam o mesmo modelo de zonas. A análise de lacunas face aos requisitos de sistema individuais da 3-3 realiza-a no módulo para operadores, idealmente em conjunto com o seu cliente.

Não, as normas IEC estão protegidas por direitos de autor. O Complass explica os requisitos por palavras próprias e remete para o número do requisito; pode guardar excertos próprios.

Não. As normas harmonizadas para o CRA estão em preparação; enquanto as suas referências não forem publicadas no Jornal Oficial, a IEC 62443 não estabelece presunção de conformidade. Pode, porém, descrever a 4-1 e a 4-2 como solução técnica escolhida na documentação técnica; o módulo contém para isso um modelo de correspondência.

Não, as normas IEC estão protegidas por direitos de autor. O Complass explica os requisitos por palavras próprias e remete para os números; pode guardar excertos próprios da sua edição licenciada.

Não necessariamente. Muitos fabricantes começam com uma autodeclaração de SL-C e comprovam o processo com evidências próprias. Um certificado de processo ou de produto emitido por um organismo independente reforça a confiança dos clientes; o módulo ajuda a reunir as evidências para isso.

Não. O Complass estrutura a implementação e a evidência; o aconselhamento e a monitorização continuam a ser tarefa do encarregado da proteção de dados, onde exista um. Os conteúdos não substituem aconselhamento jurídico.

Não. O Complass ajuda na avaliação, no conteúdo e na documentação da notificação; a notificação é submetida por si através da via de notificação da sua autoridade de controlo.

Sim. Os conteúdos seguem o regulamento, que se aplica em todos os Estados-Membros. As especificidades alemãs da BDSG estão assinaladas como notas nacionais; as regras nacionais de outros Estados-Membros verifica-as por si.

Sim, como responsável pela implantação: tem de tomar medidas de literacia em IA dos utilizadores e excluir práticas proibidas. Outras obrigações só surgem em finalidades de utilização de risco elevado ou casos de transparência.

A IA para controlo de qualidade ou otimização de desempenho não é considerada componente de segurança. Para componentes de segurança de máquinas baseados em IA, aplicam-se do Regulamento IA apenas poucos artigos; os requisitos vêm através do Regulamento Máquinas. O Complass liga para isso o projeto do Regulamento IA, do Regulamento Máquinas e do CRA.

Apenas em determinados casos. O art. 27.º, n.º 1, obriga os responsáveis pela implantação que sejam organismos de direito público ou entidades privadas que prestem serviços públicos, bem como os responsáveis pela implantação de sistemas de IA de risco elevado referidos no anexo III, ponto 5, alíneas b) e c) (solvabilidade, avaliação de riscos e fixação de preços nos seguros de vida e de saúde), antes da primeira utilização. A obrigação não se aplica aos sistemas de IA de risco elevado no domínio das infraestruturas críticas (anexo III, ponto 2). O Complass indica, com base na sua classificação, se a avaliação pode ser necessária; a decisão é sua.

Não. O Complass estrutura a classificação, as obrigações e as evidências com base no texto da lei; a avaliação jurídica em cada caso concreto cabe a si.

Em parte. A obrigação de conceber produtos para o acesso a dados só se aplica a produtos ligados e serviços conexos colocados no mercado depois de 12 de setembro de 2026; é determinante o dispositivo individual, não a série. Os direitos dos utilizadores de acesso a dados prontamente disponíveis e de partilha com terceiros não têm, pelo contrário, data de referência própria e aplicam-se desde 12 de setembro de 2025. Segundo as FAQ da Comissão Europeia, abrangem também máquinas que já estão no terreno.

As obrigações de acesso a dados nos termos do capítulo II não se aplicam a micro e pequenas empresas, desde que não tenham parceiros ou empresas associadas de maior dimensão e não tenham sido contratadas como subcontratantes para o fabrico ou a conceção de um produto ligado. As regras sobre cláusulas contratuais abusivas e sobre a mudança de cloud aplicam-se na mesma. O Complass guia-o nesta verificação.

Como utilizador, pode exigir ao detentor dos dados os dados prontamente disponíveis das suas máquinas, gratuitamente e em formato legível por máquina, e a partilha com um terceiro à sua escolha, por exemplo um parceiro de assistência. O Complass ajuda a solicitar os dados, a analisar contratos e a definir requisitos para a compra de novas máquinas.

Não. O Complass estrutura funções, obrigações e evidências com base no texto da lei e fornece modelos com formulações de exemplo; contratos e textos dirigidos a clientes devem ser submetidos a revisão jurídica antes da utilização.

Não. É direito alemão e aplica-se a instalações críticas na Alemanha. Os outros Estados-Membros da UE transpõem a Diretiva CER com leis próprias; para instalações aí situadas aplica-se o respetivo direito nacional.

O regulamento com os valores-limite ainda não foi publicado. Registe já agora os seus serviços, instalações e valores do grau de abastecimento e documente a avaliação. Se uma instalação for considerada crítica, há três meses para o registo; dez meses após o registo, o plano de resiliência e o sistema de notificação têm de estar implementados.

Não. A lei BSI regula a cibersegurança, o KRITIS-Dachgesetz a proteção física e a manutenção do abastecimento. O registo é, porém, feito em conjunto, e pode usar como evidência análises de riscos, documentos e certificados existentes (§ 17). No Complass, usa a gestão de riscos para os riscos de ambas as leis.

Só há coimas para determinadas infrações, com montantes máximos entre 100 000 euros e 1 milhão de euros: dados de registo em falta ou incorretos, incumprimento de ordens executórias, resultados de auditoria não transmitidos e recusa de acesso ou de informações numa inspeção (§ 24). Em caso de medidas em falta, a autoridade pode ordenar a correção das deficiências (§ 16); a direção responde nos termos do direito societário (§ 20).

Não. O Complass estrutura a verificação da abrangência, as obrigações e as evidências com base no texto da lei; a avaliação jurídica em cada caso concreto cabe a si.

Em regra, sim: a máquina com módulo de rádio passa a ser ela própria um equipamento de rádio e, se puder comunicar através da Internet, aplica-se o requisito de proteção da rede. O módulo RED do Complass ajuda-o na classificação.

Apenas se aplicar integralmente normas harmonizadas a todos os requisitos essenciais aplicáveis e nenhuma das restrições publicadas no Jornal Oficial se verificar, por exemplo porque, na aplicação dos pontos 6.2.5.1 e 6.2.5.2 da EN 18031, o utilizador pode não definir nem usar palavra-passe. Caso contrário, é necessário envolver um organismo notificado.

Sim. Os equipamentos de rádio colocados no mercado até lá têm de cumprir os requisitos da RED, e a avaliação de riscos, o conceito de segurança e os relatórios de ensaio podem ser transferidos para o seu projeto CRA.

Indiretamente, sim: os seus clientes têm de comprovar os requisitos de cibersegurança do MDR e esperam de si informações e compromissos para isso. Se vender o componente também a outros setores, aplica-se em regra adicionalmente o Cyber Resilience Act. O módulo contém uma fase própria para fornecedores.

Não. O Complass estrutura os requisitos de cibersegurança e as evidências e pode ser integrado no seu SGQ existente; a avaliação da conformidade e as aprovações permanecem consigo e com o seu organismo notificado.

O módulo descreve as atividades por palavras próprias, com referência às secções. O texto da norma obtém-no através do comércio de normas; pode guardar no projeto excertos da sua edição licenciada.

A lei não o impõe, mas o serviço de denúncias deve tratar as denúncias anónimas. O Complass oferece por defeito a via anónima, porque reduz a barreira à denúncia; quem o desejar pode indicar voluntariamente o seu nome.

Só se fizer ela própria parte do serviço de denúncias. Os administradores designam o serviço de denúncias, mas não veem os conteúdos. Os membros anteriores veem de imediato qualquer alteração da composição, para que ninguém leia às escondidas.

Para a maioria das empresas mais pequenas a obrigação não se aplica, com exceção das instituições financeiras. Como o canal de denúncia e o referencial estão incluídos na proteção de base, pode, ainda assim, disponibilizar o canal sem custos adicionais.

Não. O Complass disponibiliza o canal de denúncia, o procedimento e as evidências; a avaliação jurídica de uma infração comunicada cabe ao seu serviço de denúncias, caso a caso.

Sim, indiretamente, se prestar serviços de TIC a instituições financeiras. Os seus clientes têm de acordar consigo o conteúdo contratual nos termos do art. 30.º e exigem informações para o seu registo de informações, apoio em incidentes, auditorias e regras de saída. A supervisão direta só abrange os prestadores terceiros críticos de serviços de TIC nos termos do art. 31.º.

Para as instituições financeiras, o DORA é o ato mais específico; o § 28, n.º 6, BSIG exclui-as das principais obrigações da NIS2. Os prestadores de serviços de TIC podem, por outro lado, ficar eles próprios abrangidos pela NIS2 e ter de cumprir adicionalmente os requisitos DORA dos seus clientes. A verificação de abrangência no Complass analisa o lado da NIS2.

Não. O Complass ajuda a documentar incidentes com carimbos de data/hora, a fundamentar a classificação como grave com perguntas de verificação, a calcular os prazos de notificação e a preparar as notificações com as suas informações obrigatórias. A notificação propriamente dita é transmitida por si através do canal indicado pela autoridade de supervisão; a avaliação jurídica de cada caso continua a ser sua.

No registo «Contratos e licenças» da gestão de ativos, com duração, prazo de pré-aviso, responsáveis, ativos associados e evidências; com a gestão de fornecedores, também junto do prestador de serviços em causa. Fornece informações para o seu registo de informações nos termos do art. 28.º do DORA; o Complass não oferece uma exportação no formato do Regulamento de Execução (UE) 2024/2956.

Não. O organismo de certificação para a ISO 27001 com base no IT-Grundschutz é o BSI; a auditoria é realizada por um auditor certificado pelo BSI. O Complass prepara-o para isso com modelos, catálogos e evidências.

Não. Para a edição 2023, o Complass contém identificadores, níveis e descrições breves próprias; o texto integral pode ser consultado no compêndio gratuito do BSI. Os requisitos do Grundschutz++ são publicados pelo BSI sob a licença CC BY-SA 4.0 e estão incluídos no texto original.

Quem pretender certificar-se a curto prazo pode fazê-lo até 30 de novembro de 2031 com base no IT-Grundschutz clássico. Quem só pretender certificar-se em 2027 ou mais tarde deve planear diretamente com o Grundschutz++; a análise da estrutura, as necessidades de proteção e a análise de riscos continuam a ser utilizáveis em ambos os casos.

Não. O rótulo pressupõe um assessment por um prestador de auditoria autorizado pela ENX, e é esse assessment que decide se o obtém. O Complass prepara-o para isso: com autoavaliação, nível de maturidade atual por requisito, modelos, evidências e plano de medidas.

Não. O Complass indica, para cada requisito, apenas o número do VDA ISA e descreve-o por palavras próprias. O catálogo oficial descarrega-o na ENX e utiliza-o em paralelo; pode guardar extratos no projeto.

Não. O registo, a encomenda ao prestador de auditoria e a partilha do resultado são feitos através do portal da ENX. O Complass prepara os dados necessários com uma lista de verificação.

Sim. O VDA ISA assenta de perto na ISO/IEC 27001 e 27002, pelo que já terá implementado muitos requisitos. Os modelos de políticas do módulo TISAX têm a mesma estrutura do módulo ISO 27001. A proteção de protótipos e a proteção de dados acrescem quando necessário.

Para os assessments encomendados a partir de 01/01/2027, aplica-se o VDA ISA 2027, com números em parte novos. As suas respostas no Complass estão associadas a identificadores próprios e estáveis e são mantidas na transição. Os números segundo o VDA ISA 2027 estão em preparação.

O prestador pode implementar a tecnologia, mas a responsabilidade permanece com a direção do consultório. As regras para a equipa, a formação e as evidências cabem a si. No Complass, regista que requisitos o prestador confirma e quais o consultório implementa por si.

Não, os consultórios dentários aplicam a diretiva da KZBV. Ambas as versões têm a mesma estrutura e numeração; o Complass mostra em cada requisito o texto da KBV e, onde diverge, o da KZBV.

Não. A diretiva não prescreve certificado. Tem, porém, de poder comprovar a implementação, por exemplo perante a Associação de Médicos Convencionados ou de Dentistas Convencionados, a autoridade de proteção de dados ou, após um incidente, perante seguradoras.

O § 391 SGB V aplica-se a todos os hospitais e exige medidas segundo o estado da técnica. O B3S é o caminho reconhecido como adequado pelo BSI e, por isso, também para hospitais mais pequenos a referência natural.

Não. O B3S é uma obra da DKG. O Complass descreve os requisitos por palavras próprias e remete para capítulos e números ANF. A norma obtém-na gratuitamente junto da DKG; pode guardar excertos no seu projeto.

Não. As medidas que documenta no projeto B3S, o Complass associa-as, através do catálogo de medidas comum, também ao referencial NIS2.

Não. O CSF não é certificável. O Complass ajuda-o a descrever e a documentar a sua situação sob a forma de perfil; daí não resulta qualquer certificado ou selo.

Os quatro tiers (Partial, Risk Informed, Repeatable, Adaptive) indicam o grau de consolidação da sua governação e da sua gestão de riscos no seu conjunto. Regista o tier atual e o pretendido num modelo.

Não. Através das medidas comuns, o Complass propõe aproveitar avaliações e evidências. Verifica tecnicamente cada proposta antes de a confirmar.

Não. Complementa-as como forma de apresentação perante clientes e seguradores. As obrigações legais mantêm-se.

Não. Nem o SSDF nem o OWASP SAMM são certificáveis. O Complass ajuda-o a descrever e a documentar o seu estado de implementação e o seu nível de maturidade.

Não automaticamente. O SSDF abrange muitos requisitos de desenvolvimento e de tratamento de vulnerabilidades, e o Complass mostra a correspondência com o anexo I. A avaliação da conformidade nos termos do CRA continua a ser uma tarefa autónoma.

O SSDF diz o que fazer; o SAMM mostra o grau de consolidação. Com os níveis de 0 a 3 pode medir o progresso e definir objetivos.

Não. Através das medidas comuns, o Complass propõe aproveitar avaliações e evidências. Verifica cada proposta antes de a confirmar.

Sim. Enquanto fabricante, importador ou distribuidor, tem as suas obrigações mesmo que o mercado em linha tenha, além disso, obrigações próprias. O Complass atribui-lhe a função por produto.

Não. O Complass prepara os dados para a notificação no Safety Business Gateway e documenta o processo; a notificação é apresentada por si.

Não. O Complass estrutura funções, obrigações e evidências com base no texto do regulamento; a avaliação jurídica de cada caso continua a ser sua.

O módulo está em preparação. Só indicaremos uma data quando estiver definida. Fale connosco: mostramos-lhe o estado atual e como pode começar já hoje no Complass com a ISO/IEC 27001 ou a NIS2.

Para a exploração de redes e para instalações de energia de entidades importantes ou particularmente importantes aplicam-se os §§ 5c a 5e EnWG; a maioria das obrigações da lei BSI deixa de se aplicar. A classificação e o registo nos termos da lei BSI mantêm-se. Para outros setores, como água ou águas residuais, aplica-se a lei BSI. Se a instalação de energia for apenas uma atividade acessória em relação à atividade total, aplica-se igualmente a lei BSI.

Para operadores de redes, o catálogo de agosto de 2015; para operadores de instalações, o catálogo de dezembro de 2018. Ambos continuam a aplicar-se, segundo a Agência Federal de Redes, até ser publicado um novo catálogo. Data da verificação: 10.10.2026.

A Agência Federal de Redes está a rever os catálogos, juntamente com o BSI, num único catálogo que deverá aplicar-se também a serviços digitais de energia. O projeto de consulta indica 01.01.2027 como início de aplicação. Ainda não está fixado. O seu trabalho nos doze temas do § 5c, n.º 4, EnWG conta em qualquer caso, porque todo o catálogo tem de os conter.

Se até agora estava abrangido pelo § 8a BSIG na versão antiga, continue a implementar o «B3S Aggregatoren» do BDEW. Caso contrário, construa um SGSI segundo a ISO/IEC 27001 e oriente-se pelos doze temas. No Complass, avalia esses temas e acrescenta o novo catálogo assim que for fixado.

Ao ponto de notificação do BSI: uma notificação inicial precoce no prazo de 24 horas, uma notificação no prazo de 72 horas e uma notificação final o mais tardar um mês depois. Se o incidente tiver relevância para a segurança do abastecimento de energia, o BSI reencaminha a notificação para a Agência Federal de Redes (§ 5d, n.º 5, EnWG).

Não. O Complass estrutura a verificação da abrangência, as obrigações e as evidências com base no texto da lei e dos catálogos; a avaliação jurídica em cada caso concreto cabe a si.