Häufige Fragen

Nicht unmittelbar, wenn Sie selbst nicht unter § 28 BSIG fallen. Ihre Kunden müssen aber die Sicherheit ihrer Lieferkette berücksichtigen und fragen deshalb oft Nachweise an. Diese können Sie mit Complass, z. B. über ISO 27001, strukturiert erbringen.

Das BSIG schreibt keine Zertifizierung vor. ISO/IEC 27001 ist aber ein bewährter Rahmen; in Complass verknüpfen Sie beide Kataloge, sodass Nachweise für beide gelten.

Die Anwendbarkeitserklärung, auch Erklärung zur Anwendbarkeit oder englisch Statement of Applicability (SoA) genannt, ist ein Pflichtdokument nach ISO/IEC 27001:2022, Abschnitt 6.1.3 d. Sie nennt die erforderlichen Maßnahmen mit Begründung, hält fest, ob sie umgesetzt sind, und begründet, warum Maßnahmen aus Anhang A ausgeschlossen sind.

Ausgangspunkt ist die Risikobehandlung: Sie ergibt, welche Maßnahmen erforderlich sind. Diese gleichen Sie mit allen 93 Maßnahmen aus Anhang A ab und halten je Maßnahme fest, ob sie anwendbar ist, warum und wie weit sie umgesetzt ist. Maßnahmen aus Branchenvorgaben oder Verträgen kommen hinzu. Ändern sich Risiken oder Geltungsbereich, aktualisieren Sie die Erklärung.

Der Katalog zu Anhang A ist Ihre Anwendbarkeitserklärung: Je Maßnahme erfassen Sie Anwendbarkeit, Begründung, Status und Nachweis, ergänzen eigene Maßnahmen und geben den Stand als Version frei. Die Freigabe ist erst möglich, wenn jeder Eintrag entschieden und begründet ist. Exportieren können Sie als Word, Excel oder PDF.

Nein. Die Zertifizierung erfolgt durch eine akkreditierte Zertifizierungsstelle. Complass bereitet Sie mit Dokumenten, Erklärung zur Anwendbarkeit und Nachweisen darauf vor.

Ja. Complass bildet IEC 62443 mit einem Modul je Rolle ab. Hersteller haben ein eigenes Modul zu IEC 62443-4-1 und 4-2, das mit dem CRA und der Maschinenverordnung verzahnt ist.

Häufig beides. Complass zeigt die Überschneidungen und verknüpft die Kataloge, damit Sie Nachweise nur einmal erbringen.

Nein. Complass berechnet die Fristen und bereitet die Inhalte vor; die Meldung geben Sie über die Meldeplattform ab.

Möglicherweise, wenn der Umbau als wesentliche Veränderung gilt. Das Modul enthält dafür eine eigene Bewertung mit Vorlage.

Eine Phase im Modul behandelt das Zusammenspiel von Maschinenverordnung, CRA und IEC 62443; die Kataloge lassen sich verknüpfen.

Für KI-Sicherheitsbauteile, die Hochrisiko-KI-Systeme sind, gelten seit dem 27. Juli 2026 aus der KI-Verordnung nur noch wenige Artikel; ihre Anforderungen kommen ab dem 2. August 2028 über Anhang III der Maschinenverordnung. KI-Funktionen ohne Sicherheitsbezug, etwa eine Verschleißprognose, sind weiter nach den allgemeinen Regeln der KI-Verordnung zu prüfen. Das Modul führt Sie durch die Einstufung.

Beide Module gehören zum Regelwerk IEC 62443 und nutzen dasselbe Zonenmodell. Die Gap-Analyse gegen die einzelnen Systemanforderungen aus 3-3 führen Sie im Betreibermodul, idealerweise gemeinsam mit Ihrem Kunden.

Nein. Harmonisierte Normen zum CRA sind in Vorbereitung; solange ihre Fundstellen nicht im Amtsblatt veröffentlicht sind, begründet IEC 62443 keine Konformitätsvermutung. Sie können 4-1 und 4-2 aber als gewählte technische Lösung in der technischen Dokumentation beschreiben; das Modul enthält dafür eine Abgleichvorlage.

Nicht zwingend. Viele Hersteller beginnen mit einer Selbsterklärung zum SL-C und belegen den Prozess mit eigenen Nachweisen. Ein Prozess- oder Produktzertifikat durch eine unabhängige Stelle stärkt das Vertrauen von Kunden; das Modul hilft, die Nachweise dafür zu sammeln.

Nein. Complass strukturiert die Umsetzung und den Nachweis; Beratung und Überwachung bleiben Aufgabe des Datenschutzbeauftragten, wo einer benannt ist. Die Inhalte ersetzen keine Rechtsberatung.

Nein. Complass hilft bei Bewertung, Inhalt und Dokumentation der Meldung; die Meldung geben Sie über den Meldeweg Ihrer Aufsichtsbehörde ab.

Ja. Die Inhalte folgen der Verordnung, die in allen Mitgliedstaaten gilt. Deutsche Besonderheiten aus dem BDSG sind als nationale Hinweise gekennzeichnet; nationale Regeln anderer Mitgliedstaaten prüfen Sie selbst.

Ja, als Betreiber: Sie müssen Maßnahmen zur KI-Kompetenz der Nutzer ergreifen und verbotene Praktiken ausschließen. Weitere Pflichten entstehen erst bei hochriskanten Einsatzzwecken oder Transparenzfällen.

KI zur Qualitätskontrolle oder Leistungsoptimierung gilt nicht als Sicherheitsbauteil. Für KI-Sicherheitsbauteile von Maschinen gelten aus der KI-Verordnung nur wenige Artikel; die Anforderungen kommen über die Maschinenverordnung. Complass verknüpft dazu KI-VO-, MaschinenVO- und CRA-Projekt.

Nur in bestimmten Fällen. Art. 27 Abs. 1 verpflichtet Betreiber, die Einrichtungen des öffentlichen Rechts sind oder als private Einrichtung öffentliche Dienste erbringen, sowie Betreiber von Hochrisiko-KI-Systemen nach Anhang III Nr. 5 Buchstabe b und c (Kreditwürdigkeit, Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen), und zwar vor der ersten Verwendung. Für Hochrisiko-KI-Systeme im Bereich kritische Infrastruktur (Anhang III Nr. 2) gilt die Pflicht nicht. Complass gibt anhand Ihrer Einstufung einen Hinweis; die Entscheidung treffen Sie.

Nein. Complass strukturiert Einstufung, Pflichten und Nachweise anhand des Gesetzestexts; die rechtliche Bewertung im Einzelfall bleibt bei Ihnen.

Teilweise. Die Pflicht, Produkte für den Datenzugang zu gestalten, gilt nur für vernetzte Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden; maßgeblich ist das einzelne Gerät, nicht die Baureihe. Die Rechte der Nutzer auf Zugang zu ohne Weiteres verfügbaren Daten und auf Weitergabe an Dritte haben dagegen keinen eigenen Stichtag und gelten seit dem 12. September 2025. Nach den FAQ der Europäischen Kommission erfassen sie auch Maschinen, die schon im Feld sind.

Die Pflichten zum Datenzugang nach Kapitel II gelten nicht für Kleinst- und Kleinunternehmen, sofern sie keine Partner- oder verbundenen Unternehmen haben, die größer sind, und nicht als Unterauftragnehmer für die Herstellung oder Konzeption eines vernetzten Produkts beauftragt wurden. Die Regeln zu missbräuchlichen Vertragsklauseln und zum Cloud-Wechsel gelten trotzdem. Complass führt Sie durch diese Prüfung.

Als Nutzer können Sie vom Dateninhaber die ohne Weiteres verfügbaren Daten Ihrer Maschinen verlangen, unentgeltlich und in maschinenlesbarem Format, und die Weitergabe an einen Dritten Ihrer Wahl, etwa einen Servicepartner. Complass hilft beim Anfordern der Daten, bei der Prüfung von Verträgen und beim Festlegen von Anforderungen für den Einkauf neuer Maschinen.

Nein. Complass strukturiert Rollen, Pflichten und Nachweise anhand des Gesetzestexts und liefert Vorlagen mit Beispielformulierungen; Verträge und Kundentexte lassen Sie vor der Verwendung rechtlich prüfen.

Nein. Es ist deutsches Recht und gilt für kritische Anlagen in Deutschland. Die anderen EU-Mitgliedstaaten setzen die CER-Richtlinie mit eigenen Gesetzen um; für Anlagen dort gilt das jeweilige nationale Recht.

Die Rechtsverordnung mit den Schwellenwerten ist noch nicht verkündet. Erfassen Sie schon jetzt Ihre Dienstleistungen, Anlagen und Werte zum Versorgungsgrad und dokumentieren Sie die Einschätzung. Gilt eine Anlage als kritisch, bleiben drei Monate für die Registrierung; zehn Monate nach der Registrierung müssen Resilienzplan und Meldewesen stehen.

Nein. Das BSI-Gesetz regelt die Cybersicherheit, das KRITIS-Dachgesetz den physischen Schutz und die Aufrechterhaltung der Versorgung. Die Registrierung erfolgt aber gemeinsam, und vorhandene Risikoanalysen, Dokumente und Zertifikate können Sie als Nachweis heranziehen (§ 17). In Complass nutzen Sie das Risk-Management für die Risiken beider Gesetze.

Bußgelder gibt es nur für bestimmte Verstöße, mit Höchstbeträgen zwischen 100.000 Euro und 1 Mio. Euro: fehlende oder falsche Registrierungsangaben, Zuwiderhandlung gegen vollziehbare Anordnungen, nicht übermittelte Auditergebnisse und verweigerten Zutritt oder verweigerte Auskunft bei einer Prüfung (§ 24). Bei fehlenden Maßnahmen kann die Behörde die Beseitigung der Mängel anordnen (§ 16); die Geschäftsleitung haftet nach Gesellschaftsrecht (§ 20).

Nein. Complass strukturiert Betroffenheitsprüfung, Pflichten und Nachweise anhand des Gesetzestexts; die rechtliche Bewertung im Einzelfall bleibt bei Ihnen.

In der Regel ja: Die Maschine mit Funkmodul ist dann selbst eine Funkanlage, und kann sie über das Internet kommunizieren, gilt die Anforderung zum Schutz des Netzes. Das Complass-Modul RED hilft Ihnen bei der Einordnung.

Nur wenn Sie harmonisierte Normen für alle anwendbaren grundlegenden Anforderungen vollständig anwenden und keine der im Amtsblatt veröffentlichten Einschränkungen greift, etwa weil dem Nutzer bei Anwendung der Nummern 6.2.5.1 und 6.2.5.2 der EN 18031 erlaubt ist, kein Passwort festzulegen bzw. zu verwenden. Sonst ist eine notifizierte Stelle einzubeziehen.

Ja. Bis dahin in Verkehr gebrachte Funkanlagen müssen die RED-Anforderungen erfüllen, und Risikobewertung, Sicherheitskonzept und Prüfberichte lassen sich in Ihr CRA-Projekt übernehmen.

Mittelbar ja: Ihre Kunden müssen die Cyber-Anforderungen der MDR nachweisen und erwarten dafür Angaben und Zusagen von Ihnen. Verkaufen Sie die Komponente auch an andere Branchen, gilt dafür in der Regel zusätzlich der Cyber Resilience Act. Das Modul enthält eine eigene Phase für Zulieferer.

Nein. Complass strukturiert die Cyber-Anforderungen und Nachweise und lässt sich in Ihr bestehendes QMS einbinden; Konformitätsbewertung und Freigaben bleiben bei Ihnen und Ihrer benannten Stelle.

Das Modul beschreibt die Aktivitäten in eigenen Worten mit Verweis auf die Abschnitte. Den Normtext selbst beziehen Sie über den Normenhandel; Auszüge aus Ihrer lizenzierten Ausgabe können Sie im Projekt hinterlegen.

Das Gesetz verpflichtet nicht dazu, die Meldestelle soll anonyme Meldungen aber bearbeiten. Complass bietet den anonymen Weg standardmäßig an, weil er die Hemmschwelle senkt; wer möchte, kann seinen Namen freiwillig angeben.

Nur, wenn sie selbst zur Meldestelle gehört. Administratoren benennen die Meldestelle, sehen aber keine Inhalte. Jede Änderung der Besetzung sehen die bisherigen Mitglieder sofort, damit niemand unbemerkt mitliest.

Für die meisten kleineren Unternehmen gilt die Pflicht nicht, Finanzunternehmen ausgenommen. Weil Meldekanal und Regelwerk im Basisschutz enthalten sind, können Sie den Kanal trotzdem ohne Mehrkosten anbieten.

Nein. Complass stellt Meldekanal, Verfahren und Nachweise bereit; wie ein gemeldeter Verstoß rechtlich zu bewerten ist, entscheidet Ihre Meldestelle im Einzelfall.

Ja, mittelbar, wenn Sie IKT-Dienstleistungen für Finanzunternehmen erbringen. Ihre Kunden müssen die Vertragsinhalte nach Art. 30 mit Ihnen vereinbaren und verlangen Angaben für ihr Informationsregister, Unterstützung bei Vorfällen, Audits und Ausstiegsregelungen. Unmittelbare Aufsicht trifft nur kritische IKT-Drittdienstleister nach Art. 31.

Für Finanzunternehmen ist DORA der speziellere Rechtsakt; § 28 Abs. 6 BSIG nimmt sie von zentralen NIS2-Pflichten aus. IKT-Dienstleister können dagegen selbst unter NIS2 fallen und zusätzlich die DORA-Anforderungen ihrer Kunden erfüllen müssen. Der Betroffenheitscheck in Complass prüft die NIS2-Seite.

Nein. Complass hilft, Vorfälle mit Zeitstempeln zu dokumentieren, die Einstufung als schwerwiegend mit Prüffragen zu begründen, die Meldefristen zu berechnen und die Meldungen mit ihren Pflichtangaben vorzubereiten. Die Meldung selbst übermitteln Sie über den von der Aufsicht vorgegebenen Weg; die rechtliche Bewertung im Einzelfall bleibt bei Ihnen.

Im Register „Verträge und Lizenzen“ des Asset-Managements, mit Laufzeit, Kündigungsfrist, Verantwortlichen, verknüpften Assets und Nachweisen; mit dem Lieferantenmanagement auch beim jeweiligen Dienstleister. Es liefert Angaben für Ihr Informationsregister nach Art. 28 DORA, einen Export im Format der Durchführungsverordnung (EU) 2024/2956 bietet Complass nicht.

Nein. Complass ist nicht Ihr GxP-System. Es hilft Ihnen, die Umsetzung von Anhang 11 zu planen, zu dokumentieren und nachzuweisen. GMP-relevante Aufzeichnungen und elektronische Unterschriften bleiben in Ihren validierten Systemen. Würden Sie solche Aufzeichnungen in Complass führen, wäre Complass selbst ein computergestütztes System, das Sie validieren müssten.

Die geltende Fassung von 2011 mit dem amtlichen deutschen Text. Die Punkte des Entwurfs von 2025 stehen in einer eigenen, als „nicht in Kraft“ gekennzeichneten Gruppe. Sobald die Endfassung erscheint, stellen wir das Regelwerk um; Ihre Bewertungen bleiben erhalten.

Wenn Sie Aufzeichnungen führen, die die FDA verlangt, ja. Beide Regelwerke haben in Complass dieselben Phasen und Vorlagen. Sie buchen sie einzeln oder zusammen; die Branchenvorlage „GxP und Life Sciences“ im Konfigurator wählt beide mit Lieferanten- und Risk-Management vor.

Nein. Die Validierung führen Sie oder Ihre Dienstleister durch, die Bewertung trifft die zuständige Behörde. Complass gibt die Struktur vor, erklärt die Anforderungen in eigenen Worten und hält Ihre Nachweise für die Inspektion bereit.

Nein. Complass ist nicht Ihr GxP-System und trifft keine Aussage zur Konformität mit Part 11. Es hilft Ihnen, die Umsetzung zu planen, zu dokumentieren und nachzuweisen. FDA-pflichtige Aufzeichnungen und elektronische Unterschriften führen Sie weiter in Ihren validierten Systemen.

Nein. Part 11 gilt für Aufzeichnungen, die eine Predicate Rule verlangt und die Sie elektronisch führen oder der FDA elektronisch übermitteln. Complass führt Sie zuerst durch diese Abgrenzung und leitet daraus das Systeminventar ab.

Für die EU gilt EU-GMP Annex 11, für FDA-pflichtige Aufzeichnungen zusätzlich Part 11. Beide Regelwerke haben in Complass dieselben Phasen und Vorlagen. Sie buchen sie einzeln oder zusammen; die Branchenvorlage „GxP und Life Sciences“ im Konfigurator wählt beide mit Lieferanten- und Risk-Management vor.

Der Text von Part 11 steht im englischen Original, so wie die FDA ihn anwendet. Die Erläuterungen, Schritte und Vorlagen sind auf Deutsch und auf Englisch.

Nein. Zertifizierungsstelle für ISO 27001 auf der Basis von IT-Grundschutz ist das BSI; die Prüfung führt ein vom BSI zertifizierter Auditor durch. Complass bereitet Sie mit Vorlagen, Katalogen und Nachweisen darauf vor.

Nein. Für die Edition 2023 enthält Complass Kennungen, Stufen und eigene Kurzbeschreibungen; den Wortlaut lesen Sie im kostenlosen Kompendium des BSI nach. Die Anforderungen von Grundschutz++ veröffentlicht das BSI unter der Lizenz CC BY-SA 4.0, sie sind im Originalwortlaut enthalten.

Wer kurzfristig zertifizieren will, kann das bis zum 30. November 2031 auf Basis des klassischen IT-Grundschutzes tun. Wer erst 2027 oder später zertifizieren möchte, plant am besten direkt mit Grundschutz++; Strukturanalyse, Schutzbedarf und Risikoanalyse bleiben in beiden Fällen nutzbar.

Nein. Das Label setzt ein Assessment durch einen von ENX zugelassenen Prüfdienstleister voraus, und ob Sie es erhalten, entscheidet dieses Assessment. Complass bereitet Sie darauf vor: mit Selbstbewertung, Ist-Reifegrad je Anforderung, Vorlagen, Nachweisen und Maßnahmenplan.

Nein. Complass nennt je Anforderung nur die Nummer im VDA ISA und beschreibt sie in eigenen Worten. Den offiziellen Katalog laden Sie bei ENX herunter und nutzen ihn parallel; Auszüge daraus können Sie im Projekt hinterlegen.

Nein. Registrierung, Auftrag an den Prüfdienstleister und das Teilen des Ergebnisses laufen über das Portal von ENX. Complass bereitet die Angaben dafür mit einer Checkliste vor.

Ja. Der VDA ISA lehnt sich inhaltlich eng an ISO/IEC 27001 und 27002 an, viele Anforderungen haben Sie dann schon umgesetzt. Die Richtlinien-Vorlagen im TISAX-Modul sind wie im ISO-27001-Modul aufgebaut. Prototypenschutz und Datenschutz kommen bei Bedarf hinzu.

Für Assessments, die ab dem 01.01.2027 beauftragt werden, gilt VDA ISA 2027, mit teils neuen Nummern. Ihre Antworten in Complass hängen an eigenen, stabilen Kennungen und bleiben bei der Umstellung erhalten. Die Nummern nach VDA ISA 2027 sind in Vorbereitung.

Der Dienstleister kann die Technik umsetzen, die Verantwortung bleibt aber bei der Praxisleitung. Regeln für das Team, Schulung und Nachweise liegen bei Ihnen. In Complass halten Sie fest, welche Anforderungen der Dienstleister bestätigt und welche die Praxis selbst umsetzt.

Nein, Zahnarztpraxen setzen die Richtlinie der KZBV um. Beide Fassungen sind gleich aufgebaut und nummeriert; Complass zeigt bei jeder Anforderung den Wortlaut der KBV und, wo er abweicht, den der KZBV.

Nein. Die Richtlinie schreibt kein Zertifikat vor. Sie müssen die Umsetzung aber belegen können, etwa gegenüber der Kassenärztlichen bzw. Kassenzahnärztlichen Vereinigung, der Datenschutzaufsicht oder nach einem Vorfall gegenüber Versicherern.

Ein krankenhausspezifisches Risikomanagement, das neben Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit auch Patientensicherheit und Behandlungseffektivität bewertet. Dazu kommen Anforderungen an Leitung und ISMS, Notfallmanagement, Asset-Management, Architektur, physische und personelle Sicherheit, Vorfallbehandlung, Prüfungen und Dienstleister sowie technische Themen von der Netzsegmentierung bis zur vernetzten Medizintechnik.

Betreiber kritischer Anlagen weisen die Umsetzung alle drei Jahre durch Prüfungen einer geeigneten prüfenden Stelle gegenüber dem BSI nach (§ 39 BSIG). Für die übrigen Krankenhäuser sieht § 391 SGB V keinen regelmäßigen Nachweis vor; die Dokumentation muss aber belastbar sein. In Complass hängen die Nachweise direkt an den Anforderungen Ihres Projekts.

§ 391 SGB V gilt für alle Krankenhäuser und verlangt Vorkehrungen nach dem Stand der Technik. Der B3S ist der vom BSI als geeignet festgestellte Weg dafür und deshalb auch für kleinere Häuser der naheliegende Maßstab.

Nein. Der B3S ist ein Werk der DKG. Complass beschreibt die Anforderungen in eigenen Worten und verweist auf Kapitel und ANF-Nummern. Den Standard erhalten Sie kostenfrei bei der DKG; Auszüge daraus können Sie in Ihrem Projekt hinterlegen.

Nein. Maßnahmen, die Sie im B3S-Projekt dokumentieren, ordnet Complass über den gemeinsamen Maßnahmenkatalog auch dem NIS2-Regelwerk zu.

Für den Netzbetrieb und für Energieanlagen von wichtigen oder besonders wichtigen Einrichtungen gelten die §§ 5c bis 5e EnWG; die meisten Pflichten des BSI-Gesetzes entfallen dafür. Einstufung und Registrierung nach dem BSI-Gesetz bleiben. Für weitere Sparten wie Wasser oder Abwasser gilt das BSI-Gesetz. Ist die Energieanlage im Verhältnis zur gesamten Geschäftstätigkeit nur eine Nebentätigkeit, gilt ebenfalls das BSI-Gesetz.

Für Netzbetreiber der Katalog von August 2015, für Anlagenbetreiber der Katalog von Dezember 2018. Beide gelten laut Bundesnetzagentur weiter, bis ein neuer Katalog veröffentlicht ist. Stand der Prüfung: 02.11.2026.

Die Bundesnetzagentur überarbeitet die Kataloge gemeinsam mit dem BSI zu einem Katalog, der auch für digitale Energiedienste gelten soll. In Fachbeiträgen wird aus einem Entwurf der 01.01.2027 als Geltungsbeginn genannt; die Bundesnetzagentur hat diesen Termin nicht bestätigt. Festgelegt ist noch nichts. Ihre Arbeit an den zwölf Themen aus § 5c Abs. 4 EnWG zählt in jedem Fall, weil jeder Katalog sie enthalten muss.

Fielen Sie bisher unter § 8a BSIG alte Fassung, setzen Sie den „B3S Aggregatoren“ des BDEW weiter um. Sonst bauen Sie ein ISMS nach ISO/IEC 27001 auf und orientieren sich an den zwölf Themen. In Complass bewerten Sie diese Themen und ergänzen den neuen Katalog, sobald er festgelegt ist.

An die Meldestelle des BSI: eine frühe Erstmeldung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach. Hat der Vorfall Bedeutung für die Energieversorgungssicherheit, leitet das BSI die Meldung an die Bundesnetzagentur weiter (§ 5d Abs. 5 EnWG).

Nein. Complass strukturiert Betroffenheitsprüfung, Pflichten und Nachweise anhand des Gesetzestexts und der Kataloge; die rechtliche Bewertung im Einzelfall bleibt bei Ihnen.

Nein. Das CSF ist nicht zertifizierbar. Complass hilft Ihnen, Ihren Stand als Profil zu beschreiben und zu belegen; ein Zertifikat oder Label entsteht dadurch nicht.

Die vier Tiers (Partial, Risk Informed, Repeatable, Adaptive) kennzeichnen, wie gefestigt Ihre Steuerung und Ihr Risikomanagement insgesamt sind. Sie halten das aktuelle und das angestrebte Tier in einer Vorlage fest.

Nein. Über die gemeinsamen Maßnahmen schlägt Complass vor, Bewertungen und Nachweise zu übernehmen. Sie prüfen jeden Vorschlag fachlich, bevor Sie ihn bestätigen.

Complass verknüpft die Unterkategorien über gemeinsame Maßnahmen mit den Anforderungen dieser Regelwerke. Das ist eine inhaltliche Zuordnung von Complass, keine offizielle Zuordnung des NIST; sie ersetzt nicht Ihre fachliche Prüfung.

Nein. Es ergänzt sie als Darstellung gegenüber Kunden und Versicherern. Gesetzliche Pflichten bleiben bestehen.

Nein. Weder das SSDF noch OWASP SAMM sind zertifizierbar. Complass hilft Ihnen, Ihren Umsetzungsstand und Reifegrad zu beschreiben und zu belegen.

Nicht automatisch. Das SSDF deckt viele Anforderungen an Entwicklung und Schwachstellenbehandlung ab, und Complass zeigt die Zuordnung zu Anhang I. Die Konformitätsbewertung nach dem CRA bleibt eine eigene Aufgabe.

Das SSDF sagt, was zu tun ist; SAMM zeigt, wie gefestigt es ist. Mit den Stufen 0 bis 3 können Sie Fortschritt messen und Ziele setzen.

Nein. Über die gemeinsamen Maßnahmen schlägt Complass vor, Bewertungen und Nachweise zu übernehmen. Sie prüfen jeden Vorschlag, bevor Sie ihn bestätigen.

Ja. Als Hersteller, Einführer oder Händler haben Sie Ihre Pflichten auch dann, wenn der Marktplatz zusätzlich eigene Pflichten hat. Complass ordnet Ihnen die Rolle je Produkt zu.

Nein. Complass bereitet die Angaben für die Meldung im Safety-Business-Gateway vor und dokumentiert den Vorgang; die Meldung geben Sie selbst ab.

Nein. Complass strukturiert Rollen, Pflichten und Nachweise anhand des Verordnungstexts; die rechtliche Bewertung im Einzelfall bleibt bei Ihnen.

Ja, sobald sich die Bearbeitung in der Schweiz auswirkt, etwa durch Kunden, Nutzer oder Beschäftigte dort. Ob zusätzlich eine Vertretung in der Schweiz nötig ist, prüfen Sie im ersten Schritt des Projekts.

Zu einem großen Teil. Ergänzen müssen Sie vor allem die Schweizer Länderliste und Klauselanpassung, Protokollierung und Bearbeitungsreglement in bestimmten Fällen, die Auskunftsfrist von 30 Tagen und die Zuständigkeiten für die strafbewehrten Pflichten.

Bussen bis CHF 250 000 richten sich gegen die verantwortliche natürliche Person, die vorsätzlich handelt, nicht automatisch gegen das Unternehmen. Klare Zuständigkeiten und dokumentierte Prüfungen sind deshalb wichtig.

Nein. Complass hilft bei Bewertung, Inhalt und Dokumentation; die Meldung geben Sie über das Meldeformular des EDÖB ab.

Nein. Bewertet wird die Umsetzung der Kontrollen für ein bestimmtes System; über den Betrieb entscheidet die verantwortliche Stelle. Complass bereitet die Bewertung vor, ein Zertifikat entsteht dadurch nicht.

Das ergibt sich aus der Einstufung Ihres Systems nach dem möglichen Schaden (Low, Moderate, High) oder aus Ihrem Vertrag. Die Privacy-Baseline kommt hinzu, wenn das System personenbezogene Daten verarbeitet.

Nein. Über die gemeinsamen Maßnahmen schlägt Complass vor, Bewertungen und Nachweise zu übernehmen. Sie prüfen jeden Vorschlag fachlich, bevor Sie ihn bestätigen.

Complass bereitet die Umsetzung und Bewertung der Anforderungen vor. CMMC ist ein eigenes Programm des US-Verteidigungsministeriums mit eigenen Bewertungen; ein Zertifikat entsteht durch Complass nicht.

Maßgeblich ist die Revision in Ihrem Vertrag. Das Modul bildet Rev. 3 ab; klären Sie die Revision mit Ihrem Auftraggeber, bevor Sie Nachweise aufbauen.

Nein. Über die gemeinsamen Maßnahmen schlägt Complass vor, Bewertungen und Nachweise zu übernehmen. Sie prüfen jeden Vorschlag, ob er den CUI-Bereich abdeckt.