Preguntas frecuentes

No directamente, si usted mismo no está incluido en el § 28 BSIG. Sin embargo, sus clientes deben tener en cuenta la seguridad de la cadena de suministro y a menudo solicitan evidencias. Con Complass puede aportarlas de forma estructurada, por ejemplo mediante ISO 27001.

La BSIG no exige la certificación. No obstante, ISO/IEC 27001 es un marco acreditado; en Complass se vinculan ambos catálogos para que las evidencias cuenten para los dos.

La declaración de aplicabilidad, en inglés Statement of Applicability (SoA), es un documento obligatorio según ISO/IEC 27001:2022, apartado 6.1.3 d. Nombra los controles necesarios con su justificación, indica si están implantados y justifica por qué se excluyen controles del anexo A.

El punto de partida es el tratamiento de riesgos: muestra qué controles son necesarios. Los compara con los 93 controles del anexo A y registra para cada uno si es aplicable, por qué y hasta qué punto está implantado. Se añaden los controles de normas sectoriales o contratos. Si cambian los riesgos o el alcance, usted actualiza la declaración.

El catálogo del anexo A es su declaración de aplicabilidad: para cada control registra aplicabilidad, justificación, estado y evidencia, añade controles propios y aprueba el estado como versión. La aprobación solo es posible cuando cada entrada está decidida y justificada. Puede exportarla como Word, Excel o PDF.

No. La certificación la realiza un organismo de certificación acreditado. Complass le prepara con documentos, la declaración de aplicabilidad y evidencias.

Sí. Complass cubre la IEC 62443 con un módulo por función. Los fabricantes disponen de su propio módulo para la IEC 62443-4-1 y 4-2, vinculado con el CRA y el Reglamento de Máquinas.

A menudo, ambos. Complass muestra las coincidencias y vincula los catálogos para que usted aporte las evidencias una sola vez.

No. Complass calcula los plazos y prepara el contenido; usted presenta la notificación a través de la plataforma de notificaciones.

Posiblemente, si la modificación se considera sustancial. El módulo incluye una evaluación específica con una plantilla para ello.

Una fase del módulo trata la interacción entre el Reglamento de máquinas, el CRA e IEC 62443; los catálogos se pueden vincular.

Para los componentes de seguridad de IA que son sistemas de IA de alto riesgo, desde el 27 de julio de 2026 solo se aplican unos pocos artículos del Reglamento de IA; sus requisitos llegan a partir del 2 de agosto de 2028 a través del anexo III del Reglamento de máquinas. Las funciones de IA sin relación con la seguridad, como una previsión de desgaste, siguen evaluándose según las normas generales del Reglamento de IA. El módulo le guía en la clasificación.

Ambos módulos pertenecen al marco normativo IEC 62443 y utilizan el mismo modelo de zonas. El análisis de brechas frente a los distintos requisitos del sistema de la 3-3 lo realiza en el módulo para operadores, idealmente junto con su cliente.

No. Las normas armonizadas de la CRA están en preparación; mientras sus referencias no se publiquen en el Diario Oficial, la IEC 62443 no establece presunción de conformidad. No obstante, puede describir la 4-1 y la 4-2 como solución técnica elegida en la documentación técnica; el módulo incluye para ello una plantilla de contraste.

No necesariamente. Muchos fabricantes empiezan con una autodeclaración sobre el SL-C y acreditan el proceso con evidencias propias. Un certificado de proceso o de producto expedido por un organismo independiente refuerza la confianza de los clientes; el módulo ayuda a reunir las evidencias para ello.

No. Complass estructura la aplicación y la evidencia; el asesoramiento y la supervisión siguen siendo tarea del delegado de protección de datos, donde se haya designado uno. Los contenidos no sustituyen el asesoramiento jurídico.

No. Complass ayuda con la valoración, el contenido y la documentación de la notificación; usted presenta la notificación por la vía de notificación de su autoridad de control.

Sí. Los contenidos siguen el reglamento, que se aplica en todos los Estados miembros. Las particularidades alemanas de la BDSG se señalan como indicaciones nacionales; las normas nacionales de otros Estados miembros las comprueba usted mismo.

Sí, como responsable del despliegue: debe adoptar medidas de alfabetización en IA de los usuarios y excluir las prácticas prohibidas. Otras obligaciones surgen solo en finalidades de uso de alto riesgo o en casos de transparencia.

La IA para el control de calidad o la optimización del rendimiento no se considera componente de seguridad. Para los componentes de seguridad de máquinas basados en IA, del Reglamento de IA se aplican solo unos pocos artículos; los requisitos llegan a través del Reglamento de máquinas. Complass vincula para ello los proyectos de Reglamento de IA, Reglamento de máquinas y CRA.

Solo en determinados casos. El art. 27, apartado 1, obliga a los responsables del despliegue que sean organismos de Derecho público o entidades privadas que presten servicios públicos, así como a los responsables del despliegue de sistemas de IA de alto riesgo con arreglo al anexo III, punto 5, letras b) y c) (solvencia, evaluación de riesgos y fijación de precios en seguros de vida y de salud), y ello antes del primer uso. La obligación no se aplica a los sistemas de IA de alto riesgo en el ámbito de las infraestructuras críticas (anexo III, punto 2). Complass ofrece una indicación según su clasificación; la decisión la toma usted.

No. Complass estructura la clasificación, las obligaciones y las evidencias a partir del texto legal; la valoración jurídica del caso concreto sigue en sus manos.

En parte. La obligación de diseñar los productos para el acceso a los datos se aplica solo a los productos conectados y servicios relacionados comercializados después del 12 de septiembre de 2026; lo determinante es cada dispositivo concreto, no la serie. Los derechos de los usuarios de acceso a los datos fácilmente disponibles y de cesión a terceros, en cambio, no tienen fecha propia y se aplican desde el 12 de septiembre de 2025. Según las FAQ de la Comisión Europea, abarcan también las máquinas que ya están en el campo.

Las obligaciones de acceso a los datos del capítulo II no se aplican a microempresas y pequeñas empresas, siempre que no tengan empresas asociadas o vinculadas de mayor tamaño y no hayan sido contratadas como subcontratistas para la fabricación o el diseño de un producto conectado. Las normas sobre cláusulas contractuales abusivas y cambio de nube se aplican igualmente. Complass le guía en este examen.

Como usuario puede solicitar al titular de los datos los datos fácilmente disponibles de sus máquinas, de forma gratuita y en formato legible por máquina, y su cesión a un tercero de su elección, por ejemplo un socio de servicio. Complass ayuda a solicitar los datos, a revisar contratos y a definir requisitos para la compra de nuevas máquinas.

No. Complass estructura roles, obligaciones y evidencias a partir del texto legal y ofrece plantillas con formulaciones de ejemplo; los contratos y los textos dirigidos a clientes debe someterlos a revisión jurídica antes de su uso.

No. Es Derecho alemán y se aplica a las instalaciones críticas en Alemania. Los demás Estados miembros de la UE transponen la Directiva CER con sus propias leyes; para las instalaciones situadas allí rige el Derecho nacional correspondiente.

El reglamento con los umbrales todavía no está promulgado. Registre ya sus servicios, instalaciones y valores del grado de abastecimiento y documente la valoración. Si una instalación se considera crítica, quedan tres meses para el registro; diez meses después del registro deben estar listos el plan de resiliencia y el sistema de notificaciones.

No. La ley BSI regula la ciberseguridad; el KRITIS-Dachgesetz, la protección física y el mantenimiento del abastecimiento. El registro, no obstante, se realiza conjuntamente, y los análisis de riesgos, documentos y certificados existentes pueden utilizarse como evidencia (§ 17). En Complass utiliza la gestión de riesgos para los riesgos de ambas leyes.

Solo hay multas para determinadas infracciones, con importes máximos de entre 100.000 y 1 millón de euros: datos de registro ausentes o incorrectos, incumplimiento de órdenes ejecutables, resultados de auditoría no transmitidos y denegación de acceso o de información en una inspección (§ 24). Ante la falta de medidas, la autoridad puede ordenar la subsanación de las deficiencias (§ 16); la dirección responde conforme al Derecho de sociedades (§ 20).

No. Complass estructura la comprobación de la afectación, las obligaciones y las evidencias a partir del texto legal; la valoración jurídica del caso concreto sigue en sus manos.

Por lo general sí: la máquina con módulo de radio es entonces en sí misma un equipo radioeléctrico y, si puede comunicarse a través de Internet, se aplica el requisito de protección de la red. El módulo RED de Complass le ayuda con la clasificación.

Solo si aplica íntegramente normas armonizadas para todos los requisitos esenciales aplicables y no se da ninguna de las restricciones publicadas en el Diario Oficial, por ejemplo porque, al aplicar los apartados 6.2.5.1 y 6.2.5.2 de la EN 18031, se permite al usuario no establecer ni usar una contraseña. En caso contrario, debe intervenir un organismo notificado.

Sí. Los equipos radioeléctricos comercializados hasta entonces deben cumplir los requisitos de la RED, y la evaluación de riesgos, el concepto de seguridad y los informes de ensayo pueden trasladarse a su proyecto de CRA.

De forma indirecta, sí: sus clientes deben acreditar los requisitos de ciberseguridad del MDR y esperan de usted datos y compromisos para ello. Si vende el componente también a otros sectores, por lo general se aplica además la Cyber Resilience Act. El módulo incluye una fase propia para proveedores.

No. Complass estructura los requisitos de ciberseguridad y las evidencias y puede integrarse en su sistema de gestión de la calidad existente; la evaluación de la conformidad y las aprobaciones siguen en manos de usted y de su organismo notificado.

El módulo describe las actividades con palabras propias, con referencia a los apartados. El texto de la norma lo obtiene usted a través de la distribución de normas; puede guardar en el proyecto extractos de su edición con licencia.

La ley no lo exige, pero la oficina de denuncias debería tramitar también las denuncias anónimas. Complass ofrece la vía anónima de forma predeterminada porque reduce la reticencia a denunciar; quien lo desee puede indicar su nombre voluntariamente.

Solo si forma parte de la oficina de denuncias. Los administradores designan la oficina de denuncias, pero no ven ningún contenido. Los miembros anteriores ven de inmediato cualquier cambio en la composición, de modo que nadie pueda leer en secreto.

Para la mayoría de las empresas más pequeñas la obligación no se aplica, con excepción de las entidades financieras. Como el canal de denuncias y el marco normativo están incluidos en la protección básica, puede ofrecer el canal igualmente sin coste adicional.

No. Complass proporciona el canal de denuncias, el procedimiento y las evidencias; cómo debe valorarse jurídicamente una infracción denunciada lo decide su oficina de denuncias en cada caso concreto.

Sí, de forma indirecta, si presta servicios de TIC a entidades financieras. Sus clientes deben acordar con usted los contenidos contractuales conforme al art. 30 y le exigen datos para su registro de información, apoyo en incidentes, auditorías y regulaciones de salida. La supervisión directa solo alcanza a los terceros proveedores críticos de servicios de TIC conforme al art. 31.

Para las entidades financieras, DORA es el acto jurídico más específico; el § 28, apdo. 6, BSIG las exime de las obligaciones centrales de NIS2. Los proveedores de TIC, en cambio, pueden estar sujetos ellos mismos a NIS2 y deber cumplir además los requisitos DORA de sus clientes. La comprobación de afectación de Complass examina el lado NIS2.

No. Complass le ayuda a documentar incidentes con marcas de tiempo, a fundamentar con preguntas de verificación su clasificación como graves, a calcular los plazos de notificación y a preparar las notificaciones con sus datos obligatorios. La notificación en sí la presenta usted por la vía que establezca la autoridad de supervisión; la valoración jurídica de cada caso le corresponde a usted.

En el registro «Contratos y licencias» de la gestión de activos, con duración, plazo de preaviso, responsables, activos vinculados y evidencias; con la gestión de proveedores, también en el proveedor de servicios correspondiente. Aporta datos para su registro de información conforme al art. 28 DORA; Complass no ofrece una exportación en el formato del Reglamento de Ejecución (UE) 2024/2956.

No. Complass no es su sistema GxP. Le ayuda a planificar, documentar y acreditar la aplicación del Anexo 11. Los registros relevantes para las GMP y las firmas electrónicas permanecen en sus sistemas validados. Si llevara tales registros en Complass, Complass sería en sí mismo un sistema informatizado que usted tendría que validar.

La versión de 2011 en vigor, con el texto oficial. Los puntos del borrador de 2025 figuran en un grupo aparte marcado como «no vigente». En cuanto se publique el texto definitivo, adaptaremos el marco normativo; sus evaluaciones se conservan.

Si lleva registros exigidos por la FDA, sí. En Complass ambos marcos tienen las mismas fases y plantillas. Puede contratarlos por separado o juntos; la plantilla sectorial «GxP y ciencias de la vida» del configurador preselecciona ambos con gestión de proveedores y gestión de riesgos.

No. La validación la realizan usted o sus prestadores de servicios, y la evaluación corresponde a la autoridad competente. Complass aporta la estructura, explica los requisitos con sus propias palabras y mantiene sus evidencias listas para la inspección.

No. Complass no es su sistema GxP y no emite ninguna declaración de conformidad con Part 11. Le ayuda a planificar, documentar y acreditar la aplicación. Los registros exigidos por la FDA y las firmas electrónicas los sigue llevando en sus sistemas validados.

No. Part 11 se aplica a los registros exigidos por una Predicate Rule que usted lleva en formato electrónico o transmite electrónicamente a la FDA. Complass le guía primero en esta delimitación y deriva de ella el inventario de sistemas.

En la UE se aplica EU GMP Annex 11; para los registros exigidos por la FDA se aplica además Part 11. En Complass ambos marcos tienen las mismas fases y plantillas. Puede contratarlos por separado o juntos; la plantilla sectorial «GxP y ciencias de la vida» del configurador preselecciona ambos con gestión de proveedores y gestión de riesgos.

El texto de Part 11 se muestra en el original inglés, tal como lo aplica la FDA. Las explicaciones, los pasos y las plantillas están disponibles en alemán y en inglés.

No. El organismo de certificación de ISO 27001 sobre la base de IT-Grundschutz es el BSI; la auditoría la realiza un auditor certificado por el BSI. Complass le prepara con plantillas, catálogos y evidencias.

No. Para la edición 2023, Complass incluye identificadores, niveles y descripciones breves propias; el tenor literal puede consultarlo en el compendio gratuito del BSI. Los requisitos de Grundschutz++ los publica el BSI bajo la licencia CC BY-SA 4.0 y se incluyen en su tenor literal original.

Quien quiera certificarse a corto plazo puede hacerlo hasta el 30 de noviembre de 2031 sobre la base del IT-Grundschutz clásico. Quien desee certificarse en 2027 o más tarde hará mejor en planificar directamente con Grundschutz++; el análisis de estructura, la necesidad de protección y el análisis de riesgos siguen siendo utilizables en ambos casos.

No. La etiqueta requiere una evaluación por parte de un proveedor de auditoría autorizado por ENX, y es esa evaluación la que decide si la obtiene. Complass le prepara para ello: con autoevaluación, nivel de madurez actual por requisito, plantillas, evidencias y plan de medidas.

No. Para cada requisito, Complass indica solo el número del VDA ISA y lo describe con palabras propias. El catálogo oficial lo descarga de ENX y lo utiliza en paralelo; puede guardar extractos en el proyecto.

No. El registro, el encargo al proveedor de auditoría y el intercambio del resultado se realizan a través del portal de ENX. Complass prepara los datos necesarios con una lista de comprobación.

Sí. El VDA ISA se basa en gran medida en ISO/IEC 27001 y 27002, por lo que ya habrá implantado muchos requisitos. Las plantillas de políticas del módulo TISAX están estructuradas como en el módulo ISO 27001. La protección de prototipos y la protección de datos se añaden cuando hacen falta.

Para las evaluaciones encargadas a partir del 01/01/2027 se aplica el VDA ISA 2027, con números en parte nuevos. Sus respuestas en Complass están ligadas a identificadores propios y estables y se conservan en la transición. Los números según el VDA ISA 2027 están en preparación.

El proveedor puede implementar la parte técnica, pero la responsabilidad sigue en manos de la dirección de la consulta. Las reglas para el equipo, la formación y las evidencias corren de su cuenta. En Complass registra qué requisitos confirma el proveedor y cuáles aplica la propia consulta.

No, las consultas dentales aplican la directriz de la KZBV. Ambas versiones tienen la misma estructura y numeración; Complass muestra en cada requisito el texto de la KBV y, donde difiere, el de la KZBV.

No. La directriz no prescribe ningún certificado. Pero debe poder acreditar la aplicación, por ejemplo ante la Asociación de Médicos o de Odontólogos de la Seguridad Social, la autoridad de protección de datos o, tras un incidente, ante las aseguradoras.

Una gestión de riesgos específica para hospitales, que evalúa la seguridad del paciente y la eficacia del tratamiento además de la disponibilidad, la integridad, la autenticidad y la confidencialidad. A ello se suman requisitos sobre dirección y SGSI, gestión de emergencias, gestión de activos, arquitectura, seguridad física y de personal, gestión de incidentes, auditorías y proveedores, y temas técnicos desde la segmentación de red hasta la tecnología médica conectada.

Los operadores de instalaciones críticas demuestran la implantación ante el BSI cada tres años mediante auditorías de un organismo auditor adecuado (§ 39 BSIG). Para los demás hospitales, el § 391 SGB V no prevé una prueba periódica, pero la documentación debe ser sólida. En Complass, las evidencias están directamente en los requisitos de su proyecto.

El § 391 SGB V se aplica a todos los hospitales y exige medidas conforme al estado de la técnica. El B3S es el camino que la BSI ha constatado como idóneo para ello y, por tanto, también para los centros más pequeños la referencia más natural.

No. El B3S es una obra de la DKG. Complass describe los requisitos con palabras propias y remite a capítulos y números ANF. El estándar lo obtiene gratuitamente en la DKG; puede guardar extractos en su proyecto.

No. Las medidas que documenta en el proyecto B3S las asigna Complass, a través del catálogo común de medidas, también al marco normativo NIS2.

Para la operación de redes y para las instalaciones energéticas de entidades importantes o especialmente importantes se aplican los §§ 5c a 5e EnWG; para ello decaen la mayoría de las obligaciones de la ley BSI. La clasificación y el registro conforme a la ley BSI se mantienen. Para otros sectores como el agua o las aguas residuales se aplica la ley BSI. Si la instalación energética es solo una actividad accesoria en relación con el conjunto de la actividad empresarial, se aplica igualmente la ley BSI.

Para los gestores de redes, el catálogo de agosto de 2015; para los operadores de instalaciones, el catálogo de diciembre de 2018. Según la Bundesnetzagentur, ambos siguen vigentes hasta que se publique un nuevo catálogo. Fecha de la comprobación: 02.11.2026.

The Federal Network Agency, together with the BSI, is revising the catalogues into one catalogue that is also to apply to digital energy services. Specialist articles cite 1 January 2027 from a draft as the start of application; the Federal Network Agency has not confirmed this date. Nothing has been fixed yet. Your work on the twelve topics of section 5c(4) EnWG counts in any case, because every catalogue must contain them.

Si hasta ahora estaba sujeto al § 8a BSIG en su versión anterior, siga aplicando el «B3S Aggregatoren» de la BDEW. En caso contrario, implante un SGSI conforme a ISO/IEC 27001 y oriéntese por los doce temas. En Complass valora esos temas y añade el nuevo catálogo en cuanto se establezca.

Al punto de notificación de la BSI: una alerta temprana en un plazo de 24 horas, una notificación en un plazo de 72 horas y una notificación final como máximo un mes después. Si el incidente tiene relevancia para la seguridad del abastecimiento energético, la BSI remite la notificación a la Bundesnetzagentur (§ 5d, apdo. 5, EnWG).

No. Complass estructura la comprobación de la afectación, las obligaciones y las evidencias a partir del texto legal y de los catálogos; la valoración jurídica del caso concreto sigue en sus manos.

No. El CSF no es certificable. Complass le ayuda a describir y acreditar su situación como perfil; con ello no se genera ningún certificado ni sello.

Los cuatro tiers (Partial, Risk Informed, Repeatable, Adaptive) indican el grado de consolidación de su gobernanza y de su gestión de riesgos en su conjunto. El tier actual y el deseado se recogen en una plantilla.

No. A través de las medidas comunes, Complass propone reutilizar evaluaciones y evidencias. Usted revisa técnicamente cada propuesta antes de confirmarla.

Complass links the subcategories with the requirements of these frameworks through shared controls. This is a content-based mapping by Complass, not an official NIST mapping, and does not replace your own assessment.

No. Las complementa como forma de presentación ante clientes y aseguradoras. Las obligaciones legales se mantienen.

No. Ni el SSDF ni OWASP SAMM son certificables. Complass le ayuda a describir y acreditar su grado de implantación y su nivel de madurez.

No de forma automática. El SSDF cubre muchos requisitos de desarrollo y de gestión de vulnerabilidades, y Complass muestra la correspondencia con el anexo I. La evaluación de la conformidad con arreglo al CRA sigue siendo una tarea independiente.

El SSDF indica qué hay que hacer; SAMM muestra el grado de consolidación. Con los niveles del 0 al 3 puede medir el progreso y fijar objetivos.

No. A través de las medidas comunes, Complass propone reutilizar evaluaciones y evidencias. Usted revisa cada propuesta antes de confirmarla.

Sí. Como fabricante, importador o distribuidor tiene sus obligaciones aunque el mercado en línea tenga además obligaciones propias. Complass le asigna el rol por producto.

No. Complass prepara los datos para la notificación en el Safety Business Gateway y documenta el caso; la notificación la presenta usted mismo.

No. Complass estructura roles, obligaciones y evidencias a partir del texto del reglamento; la valoración jurídica de cada caso le corresponde a usted.

Sí, en cuanto el tratamiento surte efectos en Suiza, por ejemplo por clientes, usuarios o empleados allí. Si además es necesario un representante en Suiza, lo comprueba en el primer paso del proyecto.

En gran parte, sí. Debe completar sobre todo la lista suiza de países y la adaptación de las cláusulas, el registro de actividad y el reglamento de tratamiento en determinados casos, el plazo de acceso de 30 días y las responsabilidades por las obligaciones sancionables.

Las multas de hasta 250 000 CHF se dirigen contra la persona física responsable que actúa con dolo, no automáticamente contra la empresa. Por ello son importantes las responsabilidades claras y las comprobaciones documentadas.

No. Complass le ayuda con la evaluación, el contenido y la documentación; la notificación la presenta usted a través del formulario de notificación del PFPDT.

No. Se evalúa la implantación de los controles para un sistema concreto; la decisión sobre su puesta en operación corresponde al responsable. Complass prepara la evaluación, pero no genera ningún certificado.

Se deriva de la clasificación de su sistema según el posible daño (Low, Moderate, High) o de su contrato. La baseline de privacidad se añade cuando el sistema trata datos personales.

No. A través de las medidas comunes, Complass propone reutilizar evaluaciones y evidencias. Usted revisa técnicamente cada propuesta antes de confirmarla.

Complass prepara la implantación y la evaluación de los requisitos. CMMC es un programa propio del Departamento de Defensa de EE. UU. con evaluaciones propias; Complass no genera ningún certificado.

Es determinante la revisión de su contrato. El módulo refleja la Rev. 3; aclare la revisión con su cliente antes de reunir evidencias.

No. A través de las medidas comunes, Complass propone reutilizar evaluaciones y evidencias. Usted revisa cada propuesta para comprobar que cubre el ámbito CUI.